Cómo solucionar el alto consumo de CPU por ‘authd’ al no configurar ‘idp-single-logout-url’ en SAML en Fortinet

En este artículo, abordaremos un problema técnico que afecta a los usuarios de FortiGate en las versiones v7.4.3, v7.4.4 y v7.6.0, donde el proceso ‘authd’ consume una alta cantidad de CPU, causando problemas de autenticación. Esta cuestión es relevante ya que puede interrumpir el acceso a recursos críticos a través de SSL VPN. A continuación, se proporcionará una guía detallada para diagnosticar y resolver este problema de manera eficaz.

Descripción del problema

En las versiones mencionadas de FortiGate, se ha observado que el proceso ‘authd’ puede consumir recursos de CPU de manera excesiva, lo que resulta en fallos en la autenticación. Este comportamiento se presenta con mayor frecuencia cuando se utiliza la autenticación SAML de Azure y no se configura adecuadamente la URL de cierre de sesión (idp-single-logout-url) en la configuración SAML.

Alcance

Este problema afecta a los usuarios de FortiGate que están utilizando las versiones v7.4.3, v7.4.4 y v7.6.0.

Diagnóstico paso a paso

Para diagnosticar el problema, se pueden seguir estos pasos:

1. Verificar la configuración de SAML para asegurarse de que la URL de cierre de sesión esté especificada correctamente. Un ejemplo de configuración SAML adecuada es el siguiente:

config user saml
edit «Azure_SSO»
set entity-id «http://192.168.1.99:1003/remote/saml/metadata/»«
set single-sign-on-url «https://192.168.1.99:1003/remote/saml/login/»«
set single-logout-url «https://192.168.1.99:1003/remote/saml/logout/»«
set idp-entity-id «https://sts.windows.net/*****************************/»«
set idp-single-sign-on-url «https://login.microsoftonline.com/*******************/saml2″«
set idp-cert «AZURE-IdP-Cert»
set user-name «username»
set group-name «group»
set digest-method sha1
next

2. Revisar los registros del sistema para verificar la actividad del proceso ‘authd’. Puede utilizar el siguiente comando:

diagnose sys top 3 40
Run Time: 13 days, 0 hours and 5 minutes
50U, 0N, 2S, 46I, 0WA, 0HI, 2SI, 0ST; 3962T, 1754F
authd 18336 R 99.9 0.4 0

Si se confirma que el ‘authd’ consume recursos de CPU alta, esto indica que es el origen del problema.

Solución recomendada

Para resolver esta situación, se recomienda configurar la URL de cierre de sesión en la configuración de SAML utilizando los siguientes comandos:

config user saml
edit <name>
set idp-single-logout-url «<URL de cierre de sesión>»
end

Posteriormente, se debe comprobar si la situación se resuelve y se recomienda seguir monitoreando los registros para corroborar una mejora.

Comandos CLI utilizados

Los siguientes comandos fueron utilizados para diagnosticar y solucionar el problema:

• diagnose sys top 3 40: Muestra el uso de CPU y ayuda a identificar procesos que consumen recursos.
• fnsysctl killall authd: Termina el proceso ‘authd’, lo que puede reducir temporalmente el uso de CPU.
• diagnose debug application authd -1: Habilita el registro detallado para el proceso ‘authd’.
• diagnose debug application samld -1: Habilita el registro detallado para el proceso SAML.
• execute tac report: Genera un informe para el soporte técnico de FortiGate para su análisis.

Buenas prácticas y recomendaciones

• Siempre asegúrese de que la configuración SAML esté completa y correctamente establecida.
• Monitoree regularmente el consumo de recursos en sus dispositivos FortiGate para detectar irregularidades a tiempo.
• Considere actualizar a versiones recientes, como v7.2.11, v7.4.5 o v7.6.1, donde este problema ha sido resuelto.

Notas adicionales

El problema descrito se observa principalmente en entornos de producción donde se emplea autenticación SAML. Si después de seguir los pasos indicados el problema persiste, se recomienda contactar al soporte técnico de Fortinet para obtener asistencia especializada.