Tap - A Tap interface monitors traffic that is connected to a network switch's MIRROR/SPAN port.

Palo Alto Networks ファイアウォールは、User-ID エージェント、Captive Portal、GlobalProtect、XML API、HTTP ヘッダーなどのさまざまな方法を使用して、IP アドレスをユーザー名にマップできます。これらの方法により、ファイアウォールは IP アドレスだけではなくユーザー ID に基づいてセキュリティ ポリシーを適用できます。これらの方法には次のようなものがあります。
XML API の使用: XML API を使用すると、外部システムは HTTPS 要求を使用してユーザー マッピング情報をファイアウォールに送信できます。ファイアウォールはこの情報を使用して、IP アドレスの背後にあるユーザーを識別し、適切なポリシーを適用できます1。
GlobalProtect エージェントを使用して GlobalProtect ゲートウェイに接続するユーザー: GlobalProtect は、ユーザーのデバイスとファイアウォールの間に VPN トンネルを確立することにより、ネットワークへの安全なリモート アクセスを提供します。ユーザーが GlobalProtect エージェントを使用して GlobalProtect ゲートウェイに接続すると、ファイアウォールはユーザーを認証し、ユーザーの IP アドレスをユーザー名 1 にマップできます。
HTTP ヘッダー内に挿入されたユーザー名: ファイアウォールは、Web トラフィックの HTTP ヘッダーからユーザー名を抽出することもできます。この方法では、Web サーバーまたはプロキシ サーバーが、ファイアウォールが読み取れるカスタム HTTP ヘッダーにユーザー名を挿入する必要があります。ファイアウォールはこの情報を使用して、IP アドレスをユーザー名 1 にマッピングできます。
参考資料: IP アドレスをユーザーにマップする、認定資格 - Palo Alto Networks、Palo Alto Networks Certified Network Security Administrator (PAN-OS 10.0) または Palo Alto Networks Certified Network Security Administrator (PAN-OS 10.0)。

スクリーンショットによると、imap、pop3、smtp のみがデフォルト (アラート) アクションを持ち、アプリケーション トラフィック フローごとにアラートを生成します。アラートは脅威ログに保存されます。
https://docs.paloaltonetworks.com/pan-os/9-1/pan-os-admin/policy/security-profiles

To ensure the most comprehensive mapping of users, you must monitor all domain controllers that process authentication for users you want to map. You might need to install multiple User-ID agents to efficiently monitor all of your resources.