Website-Suche

Konfigurieren von UserPrincipalName und UPN-Suffixen in Active Directory

In diesem Artikel schauen wir uns an, was UPN (UserPrincipalName)-Suffixe in Active Directory sind, wie man alternative Suffixe in einer AD-Gesamtstruktur hinzufügt und UPN-Suffixe von Active Directory-Benutzern mit der ADUC-Konsole und PowerShell ändert.

UserPrincipalName (UPN) ist der Anmeldename des Benutzers im Format einer E-Mail-Adresse, zum Beispiel

maxb@contoso.com

. Der UPN-Name muss nicht unbedingt mit der E-Mail-Adresse des Benutzers übereinstimmen. In diesem Fall,

maxb

ist der Benutzername in einer Active Directory-Domäne (Benutzeranmeldename),

contoso.com

ist das UPN-Suffix. Sie haben ein Trennzeichen

@

zwischen ihnen.

Standardmäßig wird der DNS-Name Ihrer AD-Domäne als UPN-Suffix in Active Directory verwendet. Ein UserPrincipalName in der Domäne a-d.local sieht beispielsweise so aus:

username@a-d.local

Vermischen Sie einen UserPrincipalName nicht mit sAMAccountName, da es sich dabei um ein veraltetes AD-Attribut handelt, das aus früheren Zeiten dort verbleibt.

Wenn Ihr internes AD DS einen nicht routbaren Domänennamen verwendet (z. B. mydomain.loc), können Sie die Domäne in Azure (Microsoft 365) nicht überprüfen. Um die Synchronisierung mit Azure zu konfigurieren, müssen Sie Ihre AD-Domäne umbenennen (dies ist nicht immer möglich) oder (viel einfacher) zusätzliche (alternative) UPN-Suffixe zu Ihrem AD hinzufügen.

Wie füge ich alternative UPN-Suffixe in Active Directory hinzu?

In Active Directory können Sie mithilfe der Grafikkonsole „Active Directory Domains and Trusts“ oder PowerShell zusätzliche (alternative) UPN-Suffixe hinzufügen.

Öffnen Sie eine PowerShell-Konsole und führen Sie den Befehl „Get-ADForest“ über das AD PowerShell-Modul aus. Der folgende Befehl listet alle zugewiesenen UPN-Suffixe in der Gesamtstruktur auf:

Get-ADForest | Format-List UPNSuffixes

Wenn die Liste leer ist, bedeutet dies, dass Sie ein Standard-UPN-Suffix verwenden, das Ihrem DNS-Domänennamen entspricht.

Um ein alternatives UPN-Suffix hinzuzufügen (z. B.

a-d.site

), führen Sie diesen Befehl aus:

Get-ADForest | Set-ADForest -UPNSuffixes @{add="a-d.site"}

Stellen Sie sicher, dass das Suffix in UPNSuffixes angezeigt wird:

Get-ADForest | Format-List UPNSuffixes

Sie können mehrere eindeutige UPN-Suffixe hinzufügen. In der Regel lohnt sich dies, wenn Sie Benutzer aus verschiedenen Organisationen (Marken) in Ihrer Domain haben und Sie für diese unterschiedliche UPN-Suffixe verwenden möchten.

  1. Sie können ein UPN-Suffix auch über die Active Directory Domains and Trusts-Konsole hinzufügen.

  2. Führen Sie das aus

    domain.msc

    einrastbar;

  3. Öffnen Sie die Eigenschaften Active Directory-Domänen und -Vertrauensstellungen;

  4. Fügen Sie im Feld Alternative UPN-Suffixe ein neues Suffix hinzu und klicken Sie auf Hinzufügen.

Ändern des Benutzerprinzipalnamens (UPN) in Active Directory

Sie können den aktuellen Wert des UserPrincipalName-Attributs mit dem Cmdlet Get-ADUser anzeigen:

Get-ADUser f.martusciello -properties select userprincipalname

Sie können das UPN-Suffix für Ihre AD-Benutzer ändern. Der einfachste Weg, dies zu tun, besteht darin, UserPrincipalName in den Benutzereigenschaften in der ADUC-Konsole zu ändern (

dsa.msc

).

Wie Sie sehen, sind alle UPN-Suffixe der Domain in der Liste verfügbar. Wählen Sie das gewünschte aus und klicken Sie auf OK.

Beachten Sie, dass UserPrincipalName in dieser Form aus zwei Teilen besteht: einem Benutzernamen und einem UPN-Suffix. Tatsächlich wird der UserPrincipalName-Wert in einem einzelnen AD-Attribut gespeichert.

Wenn Sie den UPN für mehrere Benutzer gleichzeitig ändern möchten, können Sie Benutzer in der ADUC-Konsole auswählen und auf Eigenschaften klicken. Gehen Sie zur Registerkarte Konto und ändern Sie das UPN-Suffix für alle ausgewählten Benutzer. (Wenn Sie Benutzer aus verschiedenen Organisationseinheiten in eine flache Liste aufnehmen möchten, verwenden Sie die gespeicherten Abfragen in der ADUC-Konsole.)

Es ist jedoch einfacher, PowerShell zum Ändern des Benutzer-UPN-Suffixes zu verwenden.

Um ein UPN-Suffix für einen Benutzer zu ändern, verwenden Sie das Cmdlet Set-ADUser mit dem Parameter UserPrincipalName:

Set-ADUser f.martusciello -UserPrincipalName f.martusciello@a-d.site

Das folgende PowerShell-Skript ermöglicht es, Benutzer mit dem spezifischen UPN-Suffix in einer Organisationseinheit zu finden und den UserPrincipalName in einen neuen zu ändern.

Get-ADUser -Filter {UserPrincipalName -like "*@mydomain.loc"} -SearchBase " OU=Users,OU=Munich,DC=mydomain,DC=loc" |
ForEach-Object {
$UPN = $_.UserPrincipalName.Replace("mydomain.loc","a-d.site")
Set-ADUser $_ -UserPrincipalName $UPN -verbose
}

Mit diesem PowerShell-Befehl können Sie Benutzer finden, für die kein UserPrincipalName festgelegt ist:

Get-ADUser -LDAPFilter "(!(userPrincipalName=*))" | Select distinguishedName

Microsoft empfiehlt die Verwendung des IdFix-Tools zur Validierung Ihres lokalen Active Directory vor der Synchronisierung mit Azure über Azure AD Connect. Dies kann dabei helfen, verschiedene Probleme mit Benutzerattributen, einschließlich UserPrincipalName, zu identifizieren.

Wenn Sie einen neuen Benutzer erstellen, können Sie anstelle eines DNS-Namens Ihrer Domäne ein alternatives UPN-Suffix auswählen.

Wenn Sie Benutzer mit dem PowerShell-Cmdlet „New-ADUser“ erstellen, geben Sie ein neues UPN-Suffix mit dem Schalter „UserPrincipalName“ an:

New-ADUser -Name "Jan Kraus" -GivenName "Jan" -Surname "Kraus" -SamAccountName "j.kraus" -UserPrincipalName j.kraus@a-d.site

Heutzutage tritt ein Problem mit UPN-Suffixen auf, wenn Sie die lokale Active Directory-Synchronisierung mit Azure AD, Microsoft 365 oder Intune konfigurieren möchten. UserPrincipalName ist eine eindeutige Benutzerkennung in Azure.

In der Vergangenheit haben viele Unternehmen nicht routbare oder nicht vorhandene DNS-Namen verwendet (z. B

*.loc

,

*.local

) für ihre internen AD-Domänen.

Jedem AD-Benutzer, der mit Azure synchronisiert wird, muss ein eindeutiger und über das Internet weiterleitbarer userPrincipalName zugewiesen werden, der mit der Domäne Ihres Azure-Mandanten (Microsoft 365) übereinstimmt.

Verwandte Artikel