如何让本地 AD 用户使用 Azure AD 的主要自定义域作为云服务的 UPN 后缀

Question

我的客户想要使用他们的 Azure AD 公共域作为他们同步的本地用户名的 UPN 后缀。 现在用户已与他们的本地 UPN 后缀同步 例如他们将 subdomain.domain.com 作为 Azure AD 的主要自定义域，将 corp.local.com 作为经过验证的自定义域，与他们的本地 AD 域匹配

我已设置 AD Connect 以将本地 AD 用户同步到 Azure AD。 最初他们想使用预登录进行身份验证，所以我启用并设置了通过身份验证。

为本地域名添加了 TXT 记录到公共域。 所以现在他们有 3 个自定义域 1. subdomain.domain.com - 已验证 - 公开 2.默认onmicrosoft域-启用 3. corp.local.com - 已验证

因此，他们将所有用户作为@corp.local.com 移植到 AAD

现在他们希望使用公共域 UPN 后缀对用户进行身份验证，因此我将 AD 连接“Azure 登录”步骤更改为密码哈希同步（禁用 PTA，从域控制器中删除代理）但它不起作用

我尝试通过自定义安装 AD Connect 将邮件参数（电子邮件地址与公共域名匹配）用作 UPN，但当用户移植到 Azure AD 时，它占用了电子邮件地址的第一部分并附加了默认的 onmicrosoft UPN 后缀

请帮助我如何实现这一目标？

1. 如果我从 Azure AD 自定义域中删除已验证的本地域名并重新同步，那么用户将使用 @subdomain.domain.com 移植到 Azure AD（因为这是我的主域），还是将其移植到 @onmicrosoft。 com?

2. 如果我为 On prem AD 设置备用 UPN 后缀，那么它是否会为现有用户创建带有新后缀的新用户 ID？还是会修改现有的用户名？还是我必须运行一些脚本来更改现有用户的 UPN 后缀？ 如果客户不愿意为本地用户设置备用 UPN 后缀，那么其他选项是什么

提前致谢

[编辑] 根据我目前阅读的内容，有两种方法： 1.将备用UPN后缀添加到本地域并运行power shell脚本并将所有用户的后缀更改为添加的备用后缀。他们同步将使用正确的 UPN 后缀移植这些用户 - 问题是，这会影响任何现有的本地/Intranet 应用程序身份验证吗？

1. AD Connect 中的自定义同步规则
   • 在这方面没有得到太多资料。如果有人能指出正确的方向，那将非常有帮助

TIA

Answer 1

我认为我不能回答问题 1，但我可以回答问题 2。

添加备用 UPN 后缀是可选的。 AD 实际上并没有强制执行这些后缀。虽然 AD 用户和计算机为您提供了后缀的下拉列表，但如果您直接修改 userPrincipalName 属性（在属性编辑器中或通过代码），您实际上可以将 UPN 后缀设置为任何内容。

在我的工作中，我们有一个混合环境（与 Azure AD 同步的本地），我们必须使用特定的 UPN 后缀，Azure AD / Office 365 才能正常工作，但该后缀从未添加到备用 UPN 后缀列表中。 （我不知道为什么要说实话）

但是没有什么会自动更改帐户上的 UPN 后缀。您必须运行脚本来修改它们。

更新：解决您的新问题 1：重申一下，添加备用 UPN 后缀是可选的。在实际更改 UPN 后缀之前，您不必必须这样做。但这确实有意义。

关于影响任何本地/Intranet 应用程序：使用 Windows 身份验证的应用程序将在几乎所有情况下继续工作。我们的用户被告知至少使用他们的新 UPN（现在与他们的电子邮件地址匹配）登录 Windows 一次（我不完全知道为什么），而不是使用旧的 DOMAIN\username 格式。但是 Windows 仍然将它们识别为同一个帐户，因此没有尝试将它们设为新的 Windows 配置文件或类似的东西。

我们遇到的唯一问题是 BMC Remedy。它是一个使用 Windows 身份验证（在 Tomcat 之后）的 Java 应用程序。身份验证本身仍然有效，但它使用 Kerberos 令牌读取用户名，然后通过 LDAP 查找帐户详细信息。问题在于 Kerberos 令牌始终使用 sAMAccountName@domainDNS，它不一定与 AD 中的 userPrincipalName 匹配（在我们的案例中不再匹配）。我们的解决方案是在我们所有的帐户上使用sAMAccountName@domainDNS 填充一个未使用的属性，并让 Remedy 使用该属性搜索帐户。

但你可能没有这个问题。最好的办法是切换几个帐户并进行测试。