使用UPN格式的samAccountName进行身份验证

Question

在添加使用用户通过Active Directory验证用户的支持的同时samAccountName,我意外地使用samAccountNameUPN格式进行了身份验证.

例如:用户具有UPN test@mycorp.com的samAccountNameIS anotherTest 注意,samAccountName与UPN是完全不同的.当我使用用户名执行ldap绑定操作时anotherTest@mycorp.com,身份验证令人惊讶地成功.

为什么会成功？samAccountName以UPN格式绑定是否有效？

谢谢

Answer 1

好问题.情况确实如此,我从未试图找到答案.我不能在网上找到的文档,但只是这个讨论在另一个论坛.

听起来,无论您在userPrincipalName属性中设置了什么值,Active Directory中都有默认的UPN(但不是ADAM).默认的UPN是以.的形式<samAccountName>@<domainName>.

您还应注意,userPrincipalName属性不是必需属性.这意味着您始终可以创建一个没有赋值给userPrincipalName属性的AD用户对象.如果您使用Active Directory用户和计算机管理单元创建它,您将不会意识到,因为UI本身会强制您始终键入值.但是,如果使用ADSI以编程方式创建AD对象,则可以执行此操作.

如果你的年龄足以在NT4系统上有一些经验,你应该知道那时只有samAccountName但根本没有UPN.正因为如此,当您从NT4迁移到Windows 2003时,您将创建一组没有设置UPN的用户

我怀疑这是从默认UPN派生的动机samAccountName.

请注意,这samAccountName是AD用户对象的必需属性.因此,此属性不可能为空.