active-directory - 使用 UPN 格式的 samAccountName 进行身份验证

Question

在添加对使用用户的 samAccountName 通过 Active Directory 对用户进行身份验证的支持时，我意外地使用 UPN 格式的 samAccountName 进行了身份验证。

示例:用户的 UPN 为 test@mycorp.com，samAccountName 为 anotherTest请注意，samAccountName 和 UPN 完全不同。当我使用 anotherTest@mycorp.com 用户名执行 ldap 绑定(bind)操作时，身份验证意外地成功了。

为什么会成功？与 UPN 格式的 samAccountName 绑定(bind)是否有效？

谢谢

Answer 1

好问题。情况一直如此，我从未试图寻找答案。我在网上找不到文档，只有这个 discussion在另一个论坛。

听起来，无论您在 userPrincipalName 中设置什么值，Active Directory 中都有一个默认 UPN(但不是 ADAM)。属性。默认 UPN 的形式为 <samAccountName>@<domainName> .

您还应该注意 userPrincipalName属性不是强制属性。这意味着您始终可以创建一个不向 userPrincipalName 分配任何值的 AD 用户对象。属性。如果您使用 Active Directory 用户和计算机管理单元创建它，您将不会意识到这一点，因为 UI 本身会强制您始终键入值。但是，如果您使用 ADSI 以编程方式创建 AD 对象，则可以这样做。

如果您年纪大了，对NT4系统有一定的经验，您应该知道当时只有samAccountName，而根本没有UPN。正因为如此，当您从 NT4 迁移到 Windows 2003 时，you will create a bunch of users with no UPN set to it

我怀疑这是从 samAccountName 派生默认 UPN 的动机.

请注意samAccountName是 AD 用户对象的强制属性。因此，该属性不可能为空。