添加 UPN 而不是尝试更正我们的 AD 域名有什么缺点吗？

Question

不幸的是，我继承了一个 Active Directory 域，其名称是公司不拥有的 DNS 名称——我们将其称为 ABC.com。我希望它是 company.com 下的东西（根据MDMarra 对 AD 命名的回答，我可能会使用 ad.company.com，因为您永远不想使用用于其他任何事情的 DNS 名称），但是对于现在是今年能够将电子邮件移至 Office 365 并使用目录同步。为此，看起来我至少需要一个与我们的电子邮件域 (company.com) 匹配的 UPN。好的，添加第二个 UPN 的过程似乎很简单。测试它并移动帐户直到它们都在所需的 UPN 上似乎足够合理。

这样做有什么缺点吗？如果我们无限期地使用 ABC.com 这个“非拥有”域名，技术债务的死神最终会到来吗？

作为参考，我们有一个单林、单域，其中包含 2012R2 级别的所有内容（林、功能级别、所有 DC）以及此域上的 Exchange 2010。AD 中有大约 150 个用户和 450 台计算机（大量开发/测试自动化）。虽然我从 2003 年到 2012R2 一直安全地导航我们，但我决不会称自己为 AD 专家。

看起来通常不建议域重命名，而且由于我们的域上有 Exchange 2010，我不相信它甚至是一种选择。

在我看来，我可以：

• 添加第二个 UPN 并完成。我可以处理必须在我们创建/添加它们时手动设置 UPN 的事情......
• 向林中添加第二个域，将所有内容都移过去，并且永远拥有这个我无法删除的旧根域
• 创建第二个森林，森林 <-> 森林信任，在这个新森林上按照我真正想要的方式从头开始……移动一切，最终移除原始森林。真的很慢，真的很仔细，向前和向后测试，而且可能花费很大（至少花费的时间）。在梦幻世界中，这似乎是最好的，但我不确定我是否可以为此证明一个商业案例（除非有人说会发生死神降临）。
• ？？？我还没有想到的其他事情

Answer 1

因此，关于不拥有您在内部使用的域的存在危机 - 从 Office 365 的角度来看，这很好。Office 365 关心验证您正在使用的电子邮件域，而不是您的 AD 域。因此，您通过更改 UPN 以匹配用户的电子邮件地址而采取的方法是适当且正确的。

现在，从纯粹的 AD 角度来看，您将永远无法获得该内部 DNS 域的第三方证书，因为您不拥有它。这对您来说可能是也可能不是问题。您也永远无法与共享相同名称的另一个域建立信任关系，因此万一您与拥有该域的公司合并并且他们也使用该名称，那么您将遇到迁移噩梦。我想这种可能性接近于 0。

这是一个很大的工作，并可能极大干扰最终用户重命名或迁移域的出来。在这一点上，我通常认为您应该离开名称不佳的域，除非其中一个边缘情况让您心痛，并确保您在下一次复飞时正确:)