Active Directory OU 中的唯一名称要求？

Question

似乎在我的 Active Directory (win2k8r2) 中，对用户名有限制。不是用户名，而是显示名称。我尝试添加两个具有相同（不同帐户）的用户，但由于名称重复，它不会让我这样做。

如果我在两个 OU 之间尝试相同的方法，它确实有效。

有没有办法切换这个限制？我有两个属于同一个 OU 的用户，它们恰好具有完全相同的显示名称。

Answer 1

在 AD 中，CN（创建帐户时最初派生自显示名称）在同一 OU 中必须是唯一的。原因是 DistinguishedName 值必须是唯一的，并且 DistinguishedName 由 domain\ou(s)\CN 组成，所以如果 domain 相同，ou 相同，则 CN 必须不同。当您第一次在 AD 中创建用户时，名字和姓氏组合在一起形成 CN 和 displayName 属性（姓氏、名字），但这些可以在创建后更改，如下例所示。

示例解决方法：

如果您有两个同名用户需要进入同一个 OU，您将执行以下操作。

1. 创建第一个用户 Joe Smith（DN 将是 yourdomain.com\Accounting\"Smith, Joe"）
2. 将“Smith, Joe”重命名为“Smith, Joe L”（DN 将是 yourdomain.com\Accounting\“Smith, Joe L”。
3. 创建第二个用户 Joe Smith（DN 将是 yourdomain.com\Accounting\"Smith, Joe"）
4. 此时，您可以让第二个 joe smith 保留“Smith, Joe”，或者您可以像在步骤 2 中那样更改它。

这是基本的 LDAP 行为 - 不仅仅是 AD。DN 是唯一标识符 - 有点类似于 URL。

如果这种方式不起作用，那么在搜索 (dn=mydomain.com\Users\Accounting\Smith, Joe) 时，假设您必须在会计 ou 中找到 Joe Smith 用户，您将得到两个用户对象。

为避免此问题，某些组织有时会使用员工 ID 作为 CN，它始终是唯一的。这不会影响从 sn 和 givenName 属性派生的用户名。