400-6601-509

                                                      專注企業郵箱運營服務20年

                                                      企業郵箱

                                                      用戶指南

                                                      企業郵箱購買

                                                      服務等級協議

                                                      阿里郵箱迭代記錄

                                                      阿里郵箱優勢

                                                      企業郵箱>常見問題>客戶端使用>阿里企業郵箱AD域同步與認證解決方案

                                                      阿里企業郵箱AD域同步與認證解決方案

                                                      作者:阿里企業郵箱 瀏覽量:0 更新時間: 2023-04-25 23:02:21

                                                      使用Microsoft Exchange自建電子郵件系統的企業,AD系統作為電子郵件系統的認證平臺。作為辦公環境的信息中心,AD賬號已經關聯諸多應用,可謂牽一發而動全身。實現AD賬號同步創建對應的阿里郵箱組織架構,郵件系統實現平滑遷移并保持AD賬號認證登入阿里郵箱,以實現統一的賬號管理。AD同步效果圖

                                                      1

                                                      一、同步規則和注意點

                                                      1. 同步對象為部門OU、賬號user、郵箱組distribution group、以及郵件組內成員group user;

                                                      2. 同步支持DC或OU。如只同步某根OU,不需要同步的對象請勿放置根OU下,或通過給OU的url打上nombx字符標記,AD user的WWWHomePage打上nombx字符標記,安全組的WWWHomePage打上nombx字符標記,OU下的通訊組都同步不支持單個不同步。

                                                      3. 同步只做新增、禁用、更新操作,無法執行同步刪除郵箱賬號、郵件組、部門的操作(如更改sAMAccountName值等于和原郵箱賬號解除同步關系,且會根據新的sAMAccountName值新建出郵箱賬號)。

                                                      4. cn在阿里側是“默認昵稱”對內的,發給同域的賬號收件人會看到來信賬號顯示名為“姓名(默認昵稱)”; displayname在阿里側是“自定義昵稱”對外的,發給外部郵件收件人會看到來信賬號顯示名為設置的 “自定義昵稱”。

                                                      重要 

                                                      1. 域管需要添加超過兩個賬號別名的情況下不建議做mail同步,因為同步AD mail后即以AD為基準,郵箱側添加的別名會被mail覆蓋刪除,只保留AD mail同步過來的別名地址;

                                                      2. 同步周期一般為分鐘級別,最長同步周期為 1 小時/ 次, 1000賬號大概5分鐘左右同步完成,確保您的AD服務器的時間是準確的。如多臺AD服務器之間也有同步,請確保用于直接同步阿里郵箱的那臺AD服務器上的生效時間,以保證增量同步至阿里側的時效性。


                                                      同步支持的字段

                                                      郵箱側

                                                      AD側

                                                      姓名

                                                      cn

                                                      默認郵箱地址

                                                      sAMAccountName

                                                      職位

                                                      title

                                                      工作電話

                                                      telephoneNumber

                                                      手機

                                                      mobile

                                                      域別名/賬號別名/獨立多域賬號

                                                      mail

                                                      自定義昵稱

                                                      displayname

                                                      默認昵稱

                                                      任意AD屬性

                                                      工號

                                                      任意AD屬性

                                                      組同步特殊說明

                                                      通訊組

                                                      安全組

                                                      sAMAccountName必須英文無空格

                                                      sAMAccountName必須英文無空格

                                                      Name可以中文

                                                      Name可以中文

                                                      Mail必須英文無空格

                                                      Mail必須英文無空格

                                                      組作用域可以全局或通訊

                                                      組作用域可以全局或通訊

                                                      組內成員可以同步

                                                      組內成員可以同步

                                                      外域組員需填寫mail值

                                                      外域組員需填寫mail值

                                                      、認證規則和注意點

                                                      做完認證原本的鑒權中心會從郵箱切到了AD系統,即當用戶在客戶端或網頁端輸入賬號密碼的時候,通過標準LDAP協議查詢到企業的AD賬號服務,由AD系統校驗賬號和密碼的正確性,如果正確則返回給阿里郵箱告知可以登錄。認證原理

                                                      1. 請務必在AD側創建postmaster賬號,且postmaster的userPrincipalname屬性值必須填寫與郵箱側postmaster一樣的地址,否則認證后將無法登錄管理員郵箱。

                                                      2. AD服務器地址和端口需要在公網以供阿里郵箱調用。為保證AD服務的安全性,AD服務可以設置acl來源ip: 115.124.XX.XX 、59.82.XX.XX進行訪問控制。

                                                      重要 

                                                      一旦選擇通過AD賬號認證登入阿里郵箱,那么所有關于登入鑒權及密碼的修改操作均在您的AD服務器上實現。若AD系統宕機則無法繼續登錄郵箱。阿里支持主備AD進行認證,避免一臺機器宕機后無法繼續登錄郵箱。

                                                      、實現場景對比

                                                      支持的三類場景:只做同步不做認證、只做認證不做同步、既做同步又做認證。三類場景略有區別,且有需要特別注意的地方。

                                                      場景

                                                      區別

                                                      只做同步

                                                      1. user的userPrincipalname可以與登錄的郵箱地址不一致。

                                                      2. 不能同步密碼,同步后郵箱賬號是沒有密碼的,需要在郵箱域管進行密碼設置才能登錄阿里郵箱。

                                                      重要 

                                                      切換場景時需要特別注意,如原本AD同步認證都做,后續改成不認證只同步,請事先做好準備。

                                                      只做認證

                                                      1. 要求AD中所有需要認證登錄的user中userPrincipalname(如有)字段有 email 地址值, 且該值與登錄的郵箱地址保持一致。

                                                      重要 

                                                      切換場景時需要特別注意,如原本AD同步和認證都做,后續改成不同步只認證,請事先做好準備。

                                                      2. 登錄郵箱需使用AD賬號密碼,郵箱側設置的密碼無法登錄郵箱。

                                                      同步認證都做

                                                      1. 除了postmaster其他user的userPrincipalname可以與登錄的郵箱地址不一致。

                                                      2. 登錄郵箱需使用AD賬號密碼,郵箱側設置的密碼無法登錄郵箱。

                                                      、屬性獲取

                                                      打開“Active Directory 用戶和計算機”,勾選上查看中的“高級功能”,否側無法看到AD對象的屬性。AD高級功能

                                                      部門或用戶或郵件組對象,右鍵-屬性-屬性編輯器,找到所需的相關屬性。

                                                      ps:點擊任意屬性鍵盤輸入需要查找的屬性首字母,可以快速找到所查屬性。屬性值

                                                      、小技巧

                                                      如果同步出現較嚴重延遲,過了很久部門賬號或郵件組都沒同步至郵箱側,建議刷新AD對象的任意非同步認證相關的關鍵屬性值來觸發同步。如果涉及到對象比較多,也可以通過如下指令進行批量操作。

                                                      方案1:直接打開cmd命令框

                                                      csvde -f C:\Users\Administrator\Desktop\20210908.csv -r "(objectClass=user)" -d "OU=小OU,OU=大OU,DC=xxx,DC=com" -l "SamAccountName,Mail"

                                                      ps:有一些特殊的值也不能直接導出,如 wWWHomePage,如果要修改可以參考方案2的 import-Csv 命令

                                                      方案2:通過PowerShell 的 AD模塊實現

                                                      在管理工具中打開用于Windows PowerShell的ActiveDirectory 模塊命令行窗口或打開命令提示符窗口輸入PowerShell回車再輸入import-module activedirectory 導入AD模塊。

                                                      批量修改導出的csv中賬號的相關屬性

                                                      Import-Csv -Path C:\Users\Administrator\Desktop\20210908.csv | foreach {Get-ADUser -Identity $_.SamAccountName |Set-ADUser -email $_.mail -HomePage $_.wWWHomePage }


                                                      相關文檔

                                                      [搶 5折上折 鉅惠]1v1專員服務、“釘釘集成”服務、專屬域名、享億元補貼!

                                                      填寫資料馬上體驗阿里企業郵箱

                                                      工作時間5-10分鐘將由1對1顧問為您提供尊享服務

                                                      • *公   司

                                                        請您輸入正確的公司全稱

                                                      • *域   名

                                                        請您輸入已注冊成功的域名或想要注冊的域名

                                                      • *用戶數

                                                        用戶數不能為空或輸入有誤

                                                      • *電   話

                                                        電話不能為空或輸入有誤

                                                      • 聯系人
                                                      • E-mail
                                                      国产精品久久精品性色_中文字幕制服综合第一页_免费a级毛片无码免费视_无码人妻一二三区久久免费