Búsqueda de sitios web

Configuración de sufijos UserPrincipalName y UPN en Active Directory

En este artículo, veremos qué son los sufijos UPN (UserPrincipalName) en Active Directory, cómo agregar sufijos alternativos en un bosque AD y cambiar los sufijos UPN de Active Directorio de usuarios con la consola ADUC y PowerShell.

UserPrincipalName (UPN) es el nombre de inicio de sesión del usuario en el formato de una dirección de correo electrónico, por ejemplo,

maxb@contoso.com

. El nombre UPN no necesariamente tiene que coincidir con la dirección de correo electrónico del usuario. En este caso,

maxb

es el nombre de usuario en un dominio de Active Directory (nombre de inicio de sesión del usuario),

contoso.com

es el sufijo UPN. Tienen un delimitador

@

entre ellos.

De manera predeterminada, el nombre DNS de su dominio AD se usa como sufijo UPN en Active Directory. Por ejemplo, un UserPrincipalName en el dominio a-d.local se ve así:

username@a-d.local

No mezcle un UserPrincipalName con sAMAccountName, ya que es un atributo de AD heredado que permanece allí desde tiempos anteriores.

Si su AD DS interno usa un nombre de dominio no enrutable (como mydomain.loc), no podrá verificar el dominio en Azure (Microsoft 365). Para configurar la sincronización con Azure, deberá cambiar el nombre de su dominio AD (no siempre es posible) o (mucho más fácil) agregar sufijos UPN adicionales (alternativos) a su AD.

Cómo agregar el sufijo UPN alternativo en Active Directory?

En Active Directory, puede agregar sufijos UPN adicionales (alternativos) mediante la consola gráfica Dominios y confianzas de Active Directory o PowerShell.

Abra una consola de PowerShell y ejecute el comando Get-ADForest desde el módulo AD PowerShell. El siguiente comando enumerará todos los sufijos UPN asignados en el bosque:

Get-ADForest | Format-List UPNSuffixes

Si la lista está vacía, significa que está utilizando un sufijo UPN predeterminado que coincide con su nombre de dominio DNS.

Para agregar un sufijo UPN alternativo (por ejemplo,

a-d.site

), ejecute este comando:

Get-ADForest | Set-ADForest -UPNSuffixes @{add="a-d.site"}

Asegúrese de que el sufijo apareció en UPNSuffixes:

Get-ADForest | Format-List UPNSuffixes

Puede agregar varios sufijos UPN únicos. Por lo general, vale la pena hacerlo si tiene usuarios de diferentes organizaciones (marcas) en su dominio y desea usar diferentes sufijos UPN para ellos.

  1. También puede agregar un sufijo UPN mediante la consola de Active Directory Domains and Trusts;

  2. ejecutar el

    domain.msc

    complemento;

  3. Abra las propiedades Dominios y confianzas de Active Directory;

  4. Agregue un nuevo sufijo al cuadro Sufijos UPN alternativos y haga clic en Agregar.

Cambio del nombre principal de usuario (UPN) en Active Directory

Puede mostrar el valor actual del atributo UserPrincipalName mediante el cmdlet Get-ADUser:

Get-ADUser f.martusciello -properties select userprincipalname

Puede cambiar el sufijo UPN para sus usuarios de AD. La forma más fácil de hacerlo es cambiar UserPrincipalName en las propiedades del usuario en la consola ADUC (

dsa.msc

).

Como puede ver, todos los sufijos UPN del dominio están disponibles en la lista. Seleccione el que desee y haga clic en Aceptar.

Tenga en cuenta que UserPrincipalName en este formulario consta de dos partes: un nombre de usuario y un sufijo UPN. De hecho, el valor de UserPrincipalName se almacena en un solo atributo de AD.

Cuando desee cambiar el UPN para varios usuarios a la vez, puede seleccionar usuarios en la consola ADUC y hacer clic en Propiedades. Vaya a la pestaña Cuenta y cambie el sufijo UPN para todos los usuarios seleccionados. (Si desea obtener usuarios de diferentes unidades organizativas en una lista plana, use las consultas guardadas en la consola ADUC).

Pero es más fácil usar PowerShell para cambiar el sufijo UPN del usuario.

Para cambiar un sufijo UPN para un usuario, use el cmdlet Set-ADUser con el parámetro UserPrincipalName:

Set-ADUser f.martusciello -UserPrincipalName f.martusciello@a-d.site

El siguiente script de PowerShell permite encontrar usuarios con el sufijo UPN específico en una OU y cambiar el UserPrincipalName a uno nuevo.

Get-ADUser -Filter {UserPrincipalName -like "*@mydomain.loc"} -SearchBase " OU=Users,OU=Munich,DC=mydomain,DC=loc" |
ForEach-Object {
$UPN = $_.UserPrincipalName.Replace("mydomain.loc","a-d.site")
Set-ADUser $_ -UserPrincipalName $UPN -verbose
}

Este comando de PowerShell permite encontrar usuarios que no tienen configurado UserPrincipalName:

Get-ADUser -LDAPFilter "(!(userPrincipalName=*))" | Select distinguishedName

Microsoft recomienda usar la herramienta IdFix para validar su Active Directory local antes de sincronizar con Azure a través de Azure AD Connect. Esto puede ayudar a identificar diferentes problemas con los atributos de usuario, incluido UserPrincipalName.

Si crea un nuevo usuario, puede seleccionar un sufijo UPN alternativo en lugar de un nombre DNS de su dominio.

Si crea usuarios con el cmdlet New-ADUser PowerShell, especifique un nuevo sufijo UPN con el modificador UserPrincipalName:

New-ADUser -Name "Jan Kraus" -GivenName "Jan" -Surname "Kraus" -SamAccountName "j.kraus" -UserPrincipalName j.kraus@a-d.site

Hoy surge un problema de sufijos UPN si va a configurar la sincronización de Active Directory local con Azure AD, Microsoft 365, Intune. Es UserPrincipalName que es un identificador de usuario único en Azure.

Históricamente, muchas empresas han estado utilizando nombres de DNS no enrutables o inexistentes (como

*.loc

,

*.local

) para sus dominios AD internos.

A cada usuario de AD que se sincronizará con Azure se le debe asignar un UserPrincipalName único y enrutable por Internet que coincida con el dominio de su arrendatario de Azure (Microsoft 365).

Artículos relacionados