AD 中的无政府状态 - Office 365 属性混乱

Active Directory、Office 365 和 Exchange Online 中的属性命名完全是无政府状态！

您可能会认为它是由不同星球的人们设计的，或者微软内部的更高权力认为一致性很糟糕。

事实是：在许多情况下，您需要处理同一属性的多个名称，具体取决于访问位置和访问方式。阅读本文以充分了解发生了什么！

一种属性——多重化身

如果您在组织中实施了 Office 365，您很可能正在管理如下内容：

您有一个本地 Active Directory，它是您的对象和属性的主要权限。

使用 Azure AD Connect 将对象和属性从本地 Active Directory 同步到 Office 365。此同步涉及两个步骤：

1. 属性从 Active Directory 同步到 Azure AD Connect Metaverse
2. 属性从 Azure AD Connect Metaverse 同步到 Office 365

（在某些情况下，同步会以相反的顺序发生，但我们将跳过这些特殊情况）。

这种同步模型意味着用户对象和属性以三种形式存在：

• 原始对象位于 Active Directory 中
• Azure AD Connect Metaverse 中存在一个副本
• Azure AD 中存在另一个副本

让我们仔细看看无政府状态是从哪里开始的。

属性无政府状态——第一步

属性根据特定规则在 Active Directory 和 Azure AD Connect Metaverse 之间进行映射。这些规则可通过同步规则编辑器访问：

选择一条规则并对其进行编辑以查看属性的映射方式（请勿进行或保存任何更改！）。

以下是入站同步规则之一的一些示例映射（入站是从 Metaverse 看到的，即从 Active Directory 到 Azure AD Connect Metaverse 的入站）

在上面的屏幕截图中，您会注意到两个有趣的属性转换示例：

1. userAccountControl 属性中的第二位（指定帐户是否被禁用）被转换为 Metaverse 中名为 accountEnabled 的独立属性
2. sAMAccountName 属性在 Metaverse 中重命名为 accountName

因此，在从本地 Active Directory 过渡到 Azure AD Connect Metaverse 的过程中，某些属性正在发生重大变化。

属性无政府状态——第二步

如果我们在同步规则编辑器中切换到出站规则，我们可以看到从 Metaverse 到 Office 365 的同步过程中发生类似的情况：

在此示例中，我们注意到同步到 Office 365 时，Metaverse 属性 mailNickname（使用与 Active Directory 中相同的名称）被重命名为alias。

要点是：

1. 某些属性在从 Active Directory 过渡到 Azure AD Connect Metaverse 期间会更改其名称
2. 某些属性在从 Azure AD Connect Metaverse 过渡到 Office 365 期间会更改其名称

属性无政府状态 - 第三步

似乎在 Active Directory 和 Office 365 之间重命名属性名称还不够，Microsoft 在数据中设计了各种脚本管理界面，每个界面都对属性命名有独特的看法 。

三个最常见的 Office 365 脚本管理界面是：

• 适用于 Windows PowerShell 的 Azure Active Directory 模块（又名 MSOL 或 MSOnline）
• 用于图形的 Azure AD PowerShell
• 在线交流

（阅读本文以详细了解如何连接和使用这些不同的模块）

所有三个模块都能够访问 Office 365 的 Azure Active Directory 中的各种用户对象属性，但它们并不总是在属性命名上达成一致。下面是一个例子：

如果您使用 Azure AD PowerShell for Graph 界面，名为 physicalDeliveryOfficeName 的属性不会更改其名称。但是，如果您使用 MSOnline 模块或 Exchange Online 模块，则用户属性physicalDeliveryOfficeName 称为“Office”。

如上所示，其他属性（如别名）也会受到影响（使用 Azure AD PowerShell for Graph 界面称为MailNickName）。

公元的无政府状态——总结

如上图所示：

• Active Directory 用户对象属性从 AD 复制到 Azure AD Connect Metaverse 时可能会更改其名称
• Active Directory 用户对象属性从 Metaverse 复制到 Office 365 时可能会更改其名称
• Azure AD 用户对象属性可能由不同的名称引用，具体取决于您用于管理 Office 365 的脚本接口