Существует ли такая вещь, как «полностью определенное» имя пользователя в контексте аутентификации Windows?

Question

Мое веб-приложение размещено на mydomain со следующим URI, связанным с доменом: blah.net.

Я могу войти в систему, используя любое из следующих имен пользователей:

• MYDOMAIN \ бен
• ben@blah.net

Как называются имена каждого из этих типов входа (и есть ли различия) в контексте аутентификации Windows?

Answer 1

В mydomain \ ben «ben» - это имя учетной записи SAM (Менеджер учетных записей безопасности, старая система учетных записей Windows NT). Я не знаю, существует ли имя для всей конструкции "mydomain \ ben".

ben@blah.net называется UPN или основным именем пользователя, где «blah.net» - суффикс UPN.

В Active Directory также есть нечто, называемое Отличительное имя или DN, которое для бена, вероятно, будет "CN = ben, OU = Users, DC = blah, DC = net". Это наиболее близкое к «полностью квалифицированному» имя, я думаю, вы получите. Он описывает как имя объекта (часть CN), так и контейнер (часть OU), в котором он находится в активном каталоге, а также имя домена DNS (часть DC) Active Directory.

Из этих трех DN является единственным, который можно использовать для привязки к объекту пользователя LDAP без какой-либо другой информации. Используя UPN, вы должны знать контроллер домена для запроса. (Получить объект можно также и из Domain \ SamAccountName, но для этого требуется сначала найти контроллер домена для Domain, а затем выполнить поиск объекта с данным SamAccountName).

Answer 2

Форматы, известные GetUserNameEx, перечислены в перечислении EXTENDED_NAME_FORMAT .

Я думаю, что для имен, совместимых с SAM, существует ограничение длины, которое иногда можно преодолеть с помощью формата UPN.

Answer 3

В соответствии с форматами имени пользователя Microsoft документация mydomain\ben будет именоваться именем входа нижнего уровня