9 komentarzy do “Konwencje nazewnictwa użytkowników Active Directory”

1. Witam.
   A jak sobie poradzić z problemem długiej nazwy logowania. Chodzi o sytuację gdy imię i nazwisko mają tyle znaków, że kontroler AD odmawia stworzenia takowego konta. Z tego co sprawdzałem, to nazwa logowania nie może być dłuższa niż 20 znaków.

   Odpowiedz

   • W nowej domenie można zastosować np. samo nazwisko. W działającej trzeba ciąć. Takich schemat imie.nazwisko jest umowne, nigdzie się tego schematu nie akceptuje, można wprowadzić różne loginy, jeżeli obecna koncepcja jest zbyt krótka. Jeżeli ktoś ma nazwisko podwójne warto przyciąć drugi człon zostawiając tylko pierwsze nazwisko.

     Odpowiedz

     • Mam takową sytuację, buduje domenę od nowa. W starej domenie jako login była stosowana koncepcja pierwsza litera z imienia potem dwie z nazwiska a następnie separator w postaci . (kropka) a po niej skrót wydziału. Ma to jednak taką wadę, że gdy pracownik zmieniła dział w którym pracuje to jego login nie był tożsamy z miejscem pracy. Co implikuje pewne niezgodności – nie tylko natury estetycznej. Poza tym lubię mieć wszystko poukładane i ponazywane jak należy. Dodanie skrótu wydziału było niezbędne gdyż trzyliterowy login powtarzał się np. Janina Kowalska i Jan Kowalski, czyli jko. W firmie w której pracuję jest kilka osób z takim właśnie ułożeniem liter. Ponadto na przestrzeni kilkunastu lat zmieniły się też niektóre nazwy działów. I tak zrobił się mały bajzel, czyli loginy przestały odzwierciedlać strukturę organizacyjną. To co funkcjonowało i funkcjonuje sprawdzało się ale do czasu. Generalnie wystarczyło użytkownikom powiedzieć mechanizm tworzenia loginów i nie było żadnego problemu – nikt nie zapominał. Teraz gdy konfiguruję nową domenę, wymyśliłem sobie, że lepszym rozwiązaniem było by stworzenie loginu składającego się z pełnego imienia i nazwiska bez skrótu wydziału. Ten klucz tworzenia loginów byłby odporny na wady poprzedniego i łatwy do zapamiętania przez użytkowników. Problem jest jednak taki, że parę osób w tym ja mamy imiona i nazwiska, które przekraczają 20 znaków na które pozwala Windows przy tworzeniu konta AD. Stąd moje pytanie o to jak sobie z tym poradzić.
       Próbowałem w Internecie znaleźć informacje na ten temat ale nie udało się. Zastanawia mnie jeszcze jeden fakt z tym związany. Jak wyedytujemy właściwości konta użytkownika AD to tam na zakładce KONTO są dwie pozycje dotyczące nazwy logowania, pierwsza z nich to NAZWA LOGOWANIA UŻYTKOWNIKA a druga to NAZWA LOGOWANIA UŻYTKOWNIKA (SYSTEMY STARSZE NIŻ WINDOWS 2000): Ograniczenie 20 znaków co do loginu użytkownika AD dotyczy systemów starszych niż Windows 2000, w polu powyżej czyli „Nazwa logowania użytkownika” nie ma takowych ograniczeń. Ja wszystkie systemy mam nowsze niż Windows 2000 zatem, w jaki sposób wymusić logowanie do domeny użytkownikiem tym nowszym? Bez ograniczenia loginu do 20 znaków?

       Odpowiedz

       • OK, a nie można zrobić takiej konfiguracji, jako login zostawić nazwisko i dla kolejnych osób o takim samym nazwisku dobierać kolejne litery imienia (lub drugiego członu nazwiska, jeżeli takie jest) powiedźmy na podstawie stażu pracy? Jak się skończy taka opcja dodać cyfrę na końcu.
         Co do ograniczeń dla starszych systemów, skoro ich nie ma po prostu nazwa (login) w pewnym miejscu się urwie (te 20 znaków), dla Windows 10 np. taki login z tego co sprawdziłem przyjmie ponad 20 znaków. Można ewentualnie zrezygnować z drugiego członku nazwiska, jeżeli ktoś ma i podstawowy .
         Co do działów można na zakładce Organization dodać informacja o dziale oraz o bezpośrednim przełożonym użytkownika.

         Odpowiedz

         • To co napisałeś skłoniło mnie do dalszych doświadczeń z długością loginu i logowaniem się.
           Stwierdzam, że do W10 da się zalogować loginem dłuższym niż 20 znaków tylko w loginie trzeba dopisać dane domeny czyli:
           login.ponad.20.znakow@nazwa-domeny.local
           i wtedy da się zalogować.
           Teraz pytanie co i gdzie w W10 zmienić, żeby nie trzeba było wpisywać tego co jest po @?
           Czyli jak przestawić domyślny tryb logowania.

           Odpowiedz

           • Tutaj może być problem. Jeżeli loguje się jeden użytkownik na stacji zostanie zapamiętany. Jeżeli zupełnie inny użytkownik chce się zalogować to i tak musi wpisać całość login + @domena. Nie ma pola, które można ustawić zawsze jako nazwę domeny a wpisywać tylko ten długi login.

             Odpowiedz

             • Skoro są dwie metody logowania i ta pierwsza czyli loginem do max 20 znaków jest zaimplementowana jako domyślna to logika nakazuje sądzić, że jest w systemie operacyjnym Windows np. 10 jakaś wajcha, która umożliwi zmianę tego stanu na taki, żeby domyślnym sposobem logowania była opcja druga, czyli login powyżej 20 znaków, ciekawe czy jest to np gpo czy rejestr

               Odpowiedz

2. OK, dzięki za podpowiedzi.
   Generalnie interesuje mnie rozwiązanie problemu używania loginów do AD o długości znaków większej niż 20. Owszem można pobawić się w wariacje co do sposobu ich tworzenia. Ja chciałbym mieć w całej strukturze jednakowy – jednolity schemat ich tworzenia.
   Masz rację, że login może być dłuższy niż 20 znaków w zakładce KONTO pozycja NAZWA LOGOWANIA UŻYTKOWNIKA, a w pozycji NAZWA LOGOWANIA UŻYTKOWNIKA (SYSTEMY STARSZE NIŻ WINDOWS 2000) login taki zostanie obcięty do tych wspomnianych przeze mnie 20 znaków. problem jednak w tym, że logując się z klienta np. W10 będziemy mogli zalogować się tylko tym krótszym loginem. Przynajmniej ja nie potrafię zmusić W10, żeby zalogował mnie do domeny loginem dłuższym, czyli tym z pozycji NAZWA LOGOWANIA UŻYTKOWNIKA.
   Czy jest jakaś opcja, po przestawieniu której da się Windowsem 10 zalogować do domeny na login dłuższy niż 20 znaków?

   Odpowiedz

   • Przetestowałem to na szybko DC Windows Server 2019 i W10 jako klient. Jeżeli wpiszę nazwa_użytkownika@nazwadomeny.local to pozwoli zalogować się użytkownikowi, którego login jest dłuższy niż 20 znaków. Format nazwadomeny\nazwauzytkownika pozwoli na logowanie się po staremu, czyli max. 20 znaków.

     Odpowiedz