Active Directory-Benutzernamen: Warum variiert der kanonische Name? Kann ich etwas tun, um sie einheitlich zu machen?

Ich bin ein autodidaktischer Administrator eines aktiven Active Directory-Netzwerks, das für Windows-Anmeldungen auf ~ 30 PCs verwendet wird. Ich habe das System von jemand anderem geerbt, der auch keine direkte Microsoft-Schulung hatte, und daher bin ich in einigen Dingen im Dunkeln.

Das Netzwerk selbst verfügt über einen einzelnen Windows Server 2008 R2-Computer, der als Domänencontroller, DNS, Dateifreigaben usw. fungiert. Anmeldungen funktionieren einwandfrei, aber ich habe beim Deaktivieren alter Konten in der Liste der Benutzer gestöbert und etwas bemerkt, das ich nicht ganz verstehe .

Hier sind einige Beispielbenutzerkonten:

1. Anmeldename: john
   Vorname: John
   Nachname: Smith
   Anzeigename: John Smith
   Kanonischer Name des Objekts: domain.com/Users/john

2. Anmeldename: bob
   Vorname: Bob
   Nachname: Französisch
   Anzeigename: Bob Französisch
   Kanonischer Name des Objekts: domain.com/Users/Bob Französisch

Der aktuelle Domänencontroller wurde von einem anderen ausgetauscht, unter dem Windows Server 2003 ausgeführt wurde. Das erste Beispielkonto wurde erstellt, als die Server 2003-Box DC war, das zweite wurde erstellt, als die neuere Server 2008 R2-Box DC war. Warum unterscheidet sich der kanonische Name und macht er einen Unterschied?

Ich ärgere mich hauptsächlich über die Tatsache, dass meine Benutzerliste im Active Directory-Browser die Hälfte der Konten als "Vorname" und die Hälfte als "Vorname Nachname" enthält.

Kann ich etwas tun, um alle gleich zu machen, ohne die Arbeitskonten zu beschädigen?

Active Directory befasst sich nicht wirklich damit, wie sich die RDN des Benutzerkontoobjekts (der letzte Teil des Canonical-Namens) auf andere Eigenschaften wie den Anzeigenamen oder den Anmeldenamen bezieht - solange der Wert jedes einzelnen Attributs nicht gegen das verstößt Schemadefinition.

Das Verhalten des Formulars "Neuer Benutzer" in Active Directory-Benutzern und -Computern (sowie in einer Reihe anderer Dialoge) hat sich zwischen Windows Server 2003 und Windows Server 2008 R2 erheblich geändert - und dies ist wahrscheinlich der Grund, warum sie nicht konsistent sind

Sie können PowerShell verwenden, um die Nicht-Systemkonten zu verschieben. Gehen Sie dann die Benutzer durch und benennen Sie sie in einen beliebigen Anzeigenamen um:

# Create new OU named RegularUsers
New-ADOrganizationalUnit -Name RegularUsers -Path "dc=domain,dc=com"

# Retrieve all users that are not critical system objects
$users = Get-ADUser -SearchBase "CN=Users,DC=domain,DC=com" -SearchScope OneLevel -Filter {-not(isCriticalSystemObject -like '*')}

# Go through each and move to the new OU
foreach($user in $users){
    Move-ADObject $user -TargetPath "OU=RegularUsers,DC=domain,DC=com"
}

# Retrieve all users in the new OU
$movedUsers = Get-ADUser -SearchBase "CN=Users,DC=domain,DC=com" -SearchScope OneLevel -Filter '*'

foreach($user in $movedUsers){
    # Test if Display Name and object Name is the same, if not - rename
    if($user.DisplayName -ne $user.Name)
    { 
        Rename-ADObject $user -NewName "$($user.DisplayName)" 
    }
}

Im ersten Schritt können Sie auch einfach alle Benutzerkonten in ADUC markieren und per Drag & Drop an einen anderen Ort ziehen.

Der CN / DN eines Objekts ist nicht allzu relevant, da er nur intern von AD und in LDAP-Abfragen verwendet wird. Endbenutzer (und Administratoren) sehen es nur sehr selten. Es ändert sich tatsächlich von selbst, wenn Sie Objekte verschieben, da es den vollständigen LDAP-Pfad des Objekts enthält.

Wenn Sie es standardisieren möchten, können Sie dies ohne Nebenwirkungen tun. Das einzige, was Benutzer tatsächlich betrifft, ist ihr Anmeldename. Solange Sie dies nicht ändern , werden sie sich weiterhin wie gewohnt anmelden.

Zum Ändern können Sie entweder die ADUC-Konsole oder den PowerShell-Befehl Rename-ADObject verwenden .

Der Befehl dsmove sollte in der Lage sein, den kanonischen Namen für Sie zu ändern. Ich habe dies in Testumgebungen getan, aber niemals in Live-Umgebungen. Ich würde daher raten, mit Vorsicht vorzugehen.

Außerdem würde ich empfehlen, einen anderen Domänencontroller zu implementieren, um Kopfschmerzen zu vermeiden, falls Ihr einziger DC ausfällt.