解决在启用ADC所生成的帐户时出现的问题

本文提供 Active Directory 连接器 (ADC) 所创建的禁用帐户的有关信息，并介绍如何启用这些禁用的帐户。

关于 ADC 所创建的禁用帐户的常规信息

一般情况下，不应启用 Exchange 2000 ADC 所创建的禁用帐户并使用这些帐户登录。ADC 创建的这些帐户仅用作占位帐户，代表从 Microsoft Exchange Server 5.5 目录复制的邮箱。以下原因会导致 ADC 在 Active Directory 中创建禁用的用户：

•	ADC 没能在 Active Directory 中找到和 Exchange Server 5.5 邮箱关联的用户帐户。 BBS.bitsCN.com网管论坛 ADC 使用一组对象匹配规则，在 Active Directory 中查找和 Exchange Server 5.5 邮箱匹配的相应用户。ADC 尝试查找这样的用户对象：其 objectSID 或 sIDHistory 属性和 Exchange Server 5.5 邮箱的“Microsoft Windows NT 主帐户”（又称 Assoc-NT-Account 属性）匹配。 假如 ADC 未能在 Active Directory 中找到 objectSID 或 sIDHistory 属性和邮箱的 Assoc-NT-Account 属性匹配的用户，ADC 就会在 Active Directory 中创建新的禁用用户。然后，ADC 会将该禁用用户的 msExchMasterAccountSID 属性配置为和 Exchange Server 5.5 邮箱的 Assoc-NT-Account 属性相匹配。 这样就能够确保，在该邮箱移至 Exchange 2000 服务器后，这个用户帐户（可能是 Microsoft Windows NT 4.0 帐户）依然能够顺利访问该邮箱。
•	Exchange Server 5.5 中的邮箱被标记为资源邮箱。 要将某个邮箱标记为资源邮箱，请在 Exchange Server 5.5 目录中，将该邮箱的自定义属性 10 配置为“NTDSNoMatch”。该配置指示 ADC 不要使用 objectSID 或 sIDHistory 属性尝试匹配用户。ADC 会创建禁用用户，然后将 msExchMasterAccountSid 属性配置为 SELF。此配置能够确保，对资源帐户具备相应权限的其他用户能够访问到该资源帐户。
•	在 Active Directory 中，ADC 尝试将邮箱和之匹配的用户帐户已具备邮件属性。该用户的 legacyExchangeDN 属性和该用户匹配的邮箱的 Exchange Server 5.5 可分辨名称也并不匹配。 bitsCN_com 假如同一 Windows NT 帐户关联了多个邮箱，或在 Active Directory 中为用户手动填充了一些邮件属性，就可能出现此问题。在这种情况下，ADC 会创建新的禁用用户。假如邮箱的 Assoc-NT-Account 属性已配置为和林中另一用户帐户的 msExchMasterAccountSID 属性相同，ADC 将不填充该用户的 msExchMasterAccountSID 属性，因为林中的 msExchMasterAccountSID 属性值必须唯一。

ADC 创建这些禁用用户的原因如下：

•	为了确保 Exchange Server 5.5 目录中的任何邮箱（包括和该邮箱关联的任何邮件属性）都出现在 Active Directory 中。这样就能够确保，即使将任何用户帐户从 Windows NT 4.0 移动到 Active Directory 中的 Windows NT 迁移不是 100% 地完整，Exchange 2000“全球通讯簿”也是完整的。
•	为了让管理员能够将某个用户的邮箱从 Exchange Server 5.5 电脑移动到 Exchange 2000 服务器上（即使该用户的登录帐户尚未迁移到 Active Directory 中，而仍处于某个 Windows NT 4.0 域中，也仍然能够移动）。

假如您启用这些禁用的帐户，然后用户使用这些帐户（不进行其他修改）登录，那么在 Exchange 中公用文档夹和委派都会出现问题。

当您试图获取对公用文档夹和委派邮箱的访问权限时，Exchange 信息存储区会使用多个 Active Directory 属性来计算权限。Exchange 2000 信息存储区访问控制列表 (ACL) 建立在安全标识符 (SID) 基础之上。这一点和 Exchange Server 5.5 不同，Exchange Server 5.5 对 ACL 使用 Exchange Server 5.5 可分辨名称。由于存在这样的差异，信息存储区有时候必须将可分辨名称转换为 SID，或是将 SID 转换为可分辨名称。Microsoft Outlook“权限”对话框也需要使用基于可分辨名称的 ACL。信息存储区用来计算权限的 Active Directory 属性包括：

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!