Встановіть за замовчуванням суффікс UPN для створення нових користувачів в Active Directory

Чи є спосіб встановити за замовчуванням суфікс UPN для створення нових користувачів Active Directory?

Наприклад, якщо я маю corp.mydomain.com як свій домен AD, і я додав альтернативний суфікс UPN під доменами та трастами, який є лише mydomain.com, чи є спосіб, щоб цей домен був за замовчуванням під час створення нового користувачів?

Я знаю, що я можу просто створити користувача шаблону, і тоді, коли я його скопіюю, він матиме правильний суфікс за замовчуванням, але просто цікаво, чи існував прихований параметр, який би контролював це.

Немає документально підтвердженого механізму зміни суфіксу UPN за замовчуванням, який вибирають користувачі та комп’ютери Active Directory. Я вважаю, що інструмент важко провідний, щоб прийняти першу частину атрибута "canonicalName", визначеного на об'єкті "crossRef", для домену, зазначеного у "CN = Розділи, CN = Конфігурація, ..." у вашому лісі.

Користувачам та комп’ютерам AD просто трапляється робити це важко. Якщо ви створюєте облікові записи користувачів за допомогою інших засобів (наприклад, "NET USER ... / add"), атрибут userPrincipalName не буде призначений для цього облікового запису. Суфікс UPN за замовчуванням насправді є лише типовим для користувачів AD і комп’ютерів AD, а не за замовчуванням самого каталогу служб.

Якщо ви зіткнетесь зі статтею Microsoft KB із скриптом, який показує, як програмно отримати суфікс UPN за замовчуванням ( http://support.microsoft.com/default.aspx?scid=kb;en-us;Q269441 ), майте на увазі, що скрипт має в ньому пару синтаксичних помилок (рядки 17 і 32 неправильно сформовані, а srrNamingContext у рядку 32 повинен бути strNamingContext). Я включу фіксовану версію з незначним поліпшенням в кінці цієї публікації (вона показує назви окремих ОУ, де можуть бути визначені додаткові суфікси UPN).

Я б хотів, щоб мене виправили хтось, хто більше «знає», ніж я, але я не бачу жодного способу змусити користувачів AD і комп’ютерів діяти інакше.

' --- Get the naming contexts ----
Set RootDSE = GetObject("LDAP://RootDSE")
strNamingContext = RootDSE.Get("defaultNamingContext")
strConfigContext = RootDSE.Get("configurationNamingContext")

' -- Get the current domain name --
Set oDomain = GetObject("LDAP://" + strNamingContext)
strDomainName = oDomain.Get("name")

Set oPartition = GetObject("LDAP://CN=Partitions," & strConfigContext)

'-- Get the DNS name of the domain --
oDomain.GetInfoEx Array("canonicalName"), 0
strCanonical = oDomain.Get("canonicalName")
strDNSName = Left(strCanonical, Len(strCanonical) - 1) 'clip off "/"

'-- Display the default UPN suffix
wscript.echo strDNSName

'-- Get the defined upnSuffixes --
suffixes = oPartition.GetEx("UPNSuffixes")
For Each upnSuffix In suffixes
  wscript.echo upnSuffix
Next
Set RootDSE = Nothing
Set oDomain =Nothing
Set oPartition = Nothing

' -- Get the upnsuffixes defined on organizational units --
Set ADOconn = CreateObject("ADODB.Connection")
Set ADOcom = CreateObject("ADODB.Command")

ADOconn.Provider = "ADsDSOObject"
bstrADOQueryString = "<LDAP://" + strNamingContext + ">;(objectcategory=organizationalUnit);upnsuffixes,ADsPath;subtree"
wscript.echo bstrADOQueryString 
ADOconn.Open
ADOcom.ActiveConnection = ADOconn

ADOcom.CommandText = bstrADOQueryString
ADOcom.Properties("Page Size") = 99

Set objRS = ADOcom.Execute

While Not objRS.EOF
   If Not IsNull(objRS.Fields("upnSuffixes")) Then
    upnsuffixes = objRS.Fields("upnSuffixes")
    For Each upnsuffix In upnsuffixes
        wscript.echo objRS.Fields("adsPath") & " - Suffix: " & upnsuffix
    Next
   End If

   objRS.MoveNext
Wend

Set objRS = Nothing
Set ADOcom = Nothing
Set ADOconn = Nothing

Наскільки я не знаю, цього не можна зробити (відповідь Евана все-таки правдива через 4 роки).

Це означає, що я написав сценарій, який працює в планувальнику завдань кожні кілька годин для більш ніж одного клієнта. Він шукає певний суфікс (за замовчуванням у більшості випадків) і перемикає його на інший. Сценарій є у моєму щоденнику, але я його також опублікую тут :)

Import-Module ActiveDirectory


Get-ADUser -Filter {UserPrincipalName -like "*@ad.example.com"} -SearchBase "OU=SomeUserOu,DC=ad,DC=example,DC=com" |
ForEach-Object {
    $UPN = $_.UserPrincipalName.Replace("ad.example.com","example.com")
    Set-ADUser $_ -UserPrincipalName $UPN
}

У цьому випадку користувачі, створені за допомогою ad.example.comсуфікса UPN, будуть оновлені example.comсуфіксом.

Ви можете встановити дозволені суфікси UPN, зайшовши в ADSIEDIT.MSC, підключившись до структури OU, клацніть правою кнопкою миші OU (у конфігурації за замовчуванням) та відредагуйте атрибути OU. Атрибут OU для редагування - це UPNSuffixes. Однак це не впливає на типовий UPN, призначений користувачеві, створеному в рамках цього OU. Додайте до цього списку потрібний суфікс UPN. Далі створіть користувача шаблону для копіювання. Клацніть правою кнопкою миші ОУ, створіть нового користувача, який буде використовуватись як шаблон, призначте правильний суфікс UPN, а потім клацніть правою кнопкою миші користувача, щойно створив та вимкніть обліковий запис. Щоб створити нового користувача, клацніть правою кнопкою миші користувача шаблона та скопіюйте .. заповніть вибрані поля, і новий користувач буде створений відповідним UPN. Створіть кілька користувачів шаблонів для різних UPNS. Або, якщо сумніваєтесь, переключіться на shellhell.

Власне, ви можете запустити модуль Active Directory для Powershell: Set-ADOrganizationalUnit "OU = XXX, DC = Домен, DC = com" -Add @ {upnsuffixes = "@ UPNSuffix.com".

Або ви можете використовувати "Get-adorganizationalUnit" з перемикачем -Filter і передавати його на "Set-ADOrganizationalUnit -Add @ {upnsuffixes =" @ UPNSuffix.com "'

Я виявив це, шукаючи досить довго, тому сподіваюся, що це допоможе комусь.

У цій статті про техніку описано, як додати або видалити UPN-суфікси у вашому домені:

http://technet.microsoft.com/en-us/library/cc756018(WS.10).aspx

Тут також обговорюється:

http://technet.microsoft.com/en-us/library/cc739093(WS.10).aspx

Я не можу поручитися за це особисто, так як мені ніколи цього не доводилося робити, але одна річ має на увазі весну. Якщо ви будете робити це, вам потрібно мати на увазі, що в той час, як AD буде працювати правильно, те ж саме не може бути у випадку з будь-яким стороннім програмним забезпеченням, яке може припустити, що суфікс UPN завжди є стандартним . Розгляньте наслідки, перш ніж вносити зміни, іншими словами.