קביעת תצורה של סיומות UserPrincipalName ו- UPN ב- Active Directory

במאמר זה, נבחן מהן סיומות UPN (UserPrincipalName) ב- Active Directory, כיצד להוסיף סיומות חלופיות ביער AD ולשנות סיומות UPN של משתמשי Active Directory באמצעות מסוף ADUC ו- PowerShell.

UserPrincipalName (UPN) הוא שם הכניסה של המשתמש בתבנית של כתובת דואר אלקטרוני, לדוגמה,

maxb@contoso.com

. שם UPN אינו חייב בהכרח להתאים לכתובת הדואר האלקטרוני של המשתמש. במקרה זה,

maxb

הוא שם המשתמש בתחום Active Directory (שם כניסה של משתמש),

contoso.com

היא הסיומת UPN. יש להם מפריד

@

ביניהם.

כברירת מחדל, שם ה- DNS של תחום AD שלך משמש כסיומת UPN ב- Active Directory. לדוגמה, UserPrincipalName בתחום a-d.local נראה כך:

username@a-d.local

אל תערבב UserPrincipalName עם sAMAccountName היא תכונה AD מדור קודם שנשארת שם מתקופות ישנות יותר.

אם AD DS הפנימי שלך משתמש בשם תחום שאינו ניתן לניתוב (לדוגמה, mydomain.loc), לא תוכל לאמת את התחום ב- Azure (Microsoft 365). כדי להגדיר סינכרון עם Azure, יהיה עליך לשנות את שם תחום AD שלך (זה לא תמיד אפשרי) או (הרבה יותר קל) להוסיף סיומות UPN נוספות (חלופיות) ל- AD.

כיצד להוסיף סיומת UPN חלופית ב- Active Directory?

ב- Active Directory, באפשרותך להוסיף סיומות UPN נוספות (חלופיות) באמצעות מסוף הגרפיקה תחומים ויחסי אמון של Active Directory או PowerShell.

פתח מסוף PowerShell והפעל את הפקודה Get-ADForest ממודול AD PowerShell. הפקודה הבאה תפרט את כל סיומות UPN שהוקצו ביער:

Get-ADForest | Format-List UPNSuffixes

אם הרשימה ריקה, פירוש הדבר שאתה משתמש בסיומת ברירת מחדל של UPN התואמת לשם תחום ה- DNS שלך.

כדי להוסיף סיומת UPN חלופית (לדוגמה,

a-d.site

), הפעל פקודה זו:

Get-ADForest | Set-ADForest -UPNSuffixes @{add="a-d.site"}

ודא שהסיומת הופיעה ב- UPNSuffixes:

Get-ADForest | Format-List UPNSuffixes

ניתן להוסיף מספר סיומות UPN ייחודיות. בדרך כלל, כדאי לעשות אם יש לך משתמשים מארגונים שונים (מותגים) בתחום שלך ואתה רוצה להשתמש בסיומות UPN שונות עבורם.

  1. ניתן גם להוסיף סיומת UPN באמצעות מסוף Active Directory Domains and Trusts;

  2. הפעל את

    domain.msc

    סנאפ-אין;

  3. פתח את המאפיינים תחומים ויחסי אמון של Active Directory;

  4. הוסף סיומת חדשה לתיבה סיומות UPN חלופיות ולחץ על הוסף.

שינוי השם הראשי של המשתמש (UPN) ב- Active Directory

באפשרותך להציג את הערך הנוכחי של התכונה UserPrincipalName באמצעות ה- cmdlet Get-ADUser:

Get-ADUser f.martusciello -properties select userprincipalname

אתה יכול לשנות את סיומת UPN עבור משתמשי AD שלך. הדרך הקלה ביותר לעשות זאת היא לשנות את UserPrincipalName במאפייני המשתמש במסוף ADUC (

dsa.msc

).

כפי שניתן לראות, כל סיומות UPN של התחום זמינות ברשימה. בחר את האפשרות הרצויה ולחץ על אישור.

שים לב ש- UserPrincipalName בטופס זה מורכב משני חלקים: שם משתמש וסיומת UPN. למעשה, הערך UserPrincipalName מאוחסן בתכונת AD יחידה.

כאשר ברצונך לשנות את UPN עבור משתמשים מרובים בו-זמנית, באפשרותך לבחור משתמשים במסוף ADUC וללחוץ על מאפיינים. עבור אל הכרטיסיה חשבון ושנה את סיומת UPN עבור כל המשתמשים שנבחרו. (אם ברצונך להכניס משתמשים מסביבות OU שונות לרשימה שטוחה, השתמש בשאילתות שנשמרו במסוף ADUC.)

אך קל יותר להשתמש ב- PowerShell כדי לשנות את סיומת המשתמש UPN.

כדי לשנות סיומת UPN עבור משתמש, השתמש ב- cmdlet Set-ADUser עם הפרמטר UserPrincipalName:

Set-ADUser f.martusciello -UserPrincipalName f.martusciello@a-d.site

קובץ ה-script הבא של PowerShell מאפשר למצוא משתמשים עם סיומת UPN ספציפית ב- OU ולשנות את UserPrincipalName לחדש.

Get-ADUser -Filter {UserPrincipalName -like "*@mydomain.loc"} -SearchBase " OU=Users,OU=Munich,DC=mydomain,DC=loc" |
ForEach-Object {
$UPN = $_.UserPrincipalName.Replace("mydomain.loc","a-d.site")
Set-ADUser $_ -UserPrincipalName $UPN -verbose
}

פקודה זו של PowerShell מאפשרת למצוא משתמשים שאין להם ערכת UserPrincipalName:

Get-ADUser -LDAPFilter "(!(userPrincipalName=*))" | Select distinguishedName

Microsoft ממליצה להשתמש בכלי IdFix כדי לאמת את Active Directory המקומי שלך לפני סינכרון עם Azure דרך Azure AD Connect. פעולה זו יכולה לסייע בזיהוי בעיות שונות בתכונות משתמש, כולל UserPrincipalName.

אם אתה יוצר משתמש חדש, באפשרותך לבחור סיומת UPN חלופית במקום שם DNS של התחום שלך.

אם אתה יוצר משתמשים באמצעות ה- cmdlet New-ADUser PowerShell, ציין סיומת UPN חדשה עם הבורר UserPrincipalName:

New-ADUser -Name "Jan Kraus" -GivenName "Jan" -Surname "Kraus" -SamAccountName "j.kraus" -UserPrincipalName j.kraus@a-d.site

כיום מתעוררת בעיה של סיומות UPN אם בכוונתך לקבוע תצורה של סינכרון Active Directory מקומי עם Azure AD, Microsoft 365, Intune. זהו UserPrincipalName שהוא מזהה משתמש ייחודי ב- Azure.

מבחינה היסטורית, חברות רבות השתמשו בשמות DNS שאינם ניתנים לניתוב או שאינם קיימים (כגון

*.loc

,

*.local

) עבור תחומי AD הפנימיים שלהם.

יש להקצות לכל משתמש AD שיסתנכרן עם Azure userPrincipalName ייחודי וניתן לניתוב לאינטרנט התואם לתחום של דייר Azure שלך (Microsoft 365).