Nama pengguna Active Directory: mengapa nama kanonik bervariasi? Bisakah saya melakukan sesuatu untuk membuatnya seragam?

Saya seorang administrator otodidak dari sebuah jaringan Active Directory yang digunakan untuk login Windows pada ~ 30 PC. Saya mewarisi sistem dari orang lain yang juga tidak memiliki pelatihan Microsoft langsung dan sebagai hasilnya saya berada dalam kegelapan pada beberapa hal.

Jaringan itu sendiri memiliki satu mesin Windows Server 2008 R2 tunggal yang bertindak sebagai pengontrol domain, DNS, berbagi file, dll. Login berfungsi dengan baik, tetapi saya mencari-cari daftar pengguna saat menonaktifkan akun lama dan saya melihat sesuatu yang saya tidak begitu mengerti. .

Berikut beberapa contoh akun pengguna:

1. Nama Masuk: john
   Nama Depan: John
   Nama Belakang: Smith
   Nama Tampilan: John Smith
   Canonical Nama Objek: domain.com/Users/john

2. Nama Masuk: bob
   Nama Depan : Bob
   Nama Belakang: Prancis
   Nama Tampilan: Bob Perancis
   Canonical Nama Objek: domain.com/Users/Bob French

Pengontrol domain saat ini ditukar dari yang lain yang digunakan untuk menjalankan Windows Server 2003. Akun sampel pertama dibuat ketika kotak Server 2003 adalah DC, yang kedua dibuat ketika kotak Server 2008 R2 yang lebih baru adalah DC. Mengapa Nama Canonical berbeda, dan apakah ada bedanya?

Saya sebagian besar terganggu oleh kenyataan bahwa daftar pengguna saya di browser direktori aktif memiliki setengah akun sebagai 'nama depan' dan setengah sebagai 'nama belakang nama belakang'.

Dapatkah saya melakukan sesuatu untuk membuat semuanya sama tanpa merusak akun yang berfungsi?

Active Directory tidak benar-benar memusatkan perhatian pada bagaimana RDN objek akun Pengguna (bagian terakhir dari Nama Canonical) berhubungan dengan properti lain seperti Nama Tampilan atau Nama Masuk - selama nilai setiap atribut individu tidak melanggar definisi skema.

Perilaku bentuk "Pengguna Baru" di Pengguna dan Komputer Direktori Aktif (serta sejumlah dialog lainnya) telah berubah secara signifikan antara Windows Server 2003 dan Windows Server 2008 R2 - dan itulah mungkin mengapa mereka tidak konsisten

Anda dapat menggunakan PowerShell untuk memindahkan akun non-sistem, dan kemudian pergi melalui pengguna dan mengubah nama mereka menjadi apa pun Nama Tampilan mereka:

# Create new OU named RegularUsers
New-ADOrganizationalUnit -Name RegularUsers -Path "dc=domain,dc=com"

# Retrieve all users that are not critical system objects
$users = Get-ADUser -SearchBase "CN=Users,DC=domain,DC=com" -SearchScope OneLevel -Filter {-not(isCriticalSystemObject -like '*')}

# Go through each and move to the new OU
foreach($user in $users){
    Move-ADObject $user -TargetPath "OU=RegularUsers,DC=domain,DC=com"
}

# Retrieve all users in the new OU
$movedUsers = Get-ADUser -SearchBase "CN=Users,DC=domain,DC=com" -SearchScope OneLevel -Filter '*'

foreach($user in $movedUsers){
    # Test if Display Name and object Name is the same, if not - rename
    if($user.DisplayName -ne $user.Name)
    { 
        Rename-ADObject $user -NewName "$($user.DisplayName)" 
    }
}

Untuk langkah pertama, Anda juga bisa menyorot semua akun pengguna di ADUC dan menyeret-n-jatuhkan ke lokasi lain.

CN / DN suatu objek tidak terlalu relevan, karena hanya digunakan secara internal oleh AD dan dalam kueri LDAP; pengguna akhir (dan administrator) sangat jarang bisa melihatnya. Ini benar-benar berubah dengan sendirinya ketika Anda memindahkan objek di sekitar, karena itu mencakup jalur LDAP penuh objek.

Jika Anda ingin membakukannya, ini dapat dilakukan tanpa efek samping; satu-satunya pengguna hal yang benar-benar peduli dengan nama logon mereka, dan selama Anda tidak mengubah bahwa , mereka akan terus login seperti biasa.

Untuk mengubahnya, Anda bisa menggunakan konsol ADUC, atau perintah PowerShell Rename-ADObject .

The dsmove perintah harus dapat mengubah nama kanonik untuk Anda. Saya sudah melakukan ini di lingkungan pengujian tetapi tidak pernah di lingkungan hidup jadi saya akan menyarankan untuk melanjutkan dengan hati-hati.

Juga, semi-terkait, saya akan menyarankan menerapkan kontroler domain lain untuk menghindari sakit kepala jika DC Anda hanya turun.