概要 本文提供 Active Directory 连接器 (ADC) 所创建的禁用帐户的有关信息，并介绍如何启用这些禁用的帐户。 更多信息 关于 ADC 所创建的禁用帐户的常规信息 一般情况下，不应启用 Exchange 2000 ADC 所创建的禁用帐户并使用这些帐户登录。ADC 创建的这些帐户仅用作占位帐户，代表从 Microsoft Exchange Server 5.5 目录复制的邮箱。以下原因会导致 ADC 在 Active Directory 中创建禁用的用户： %26#8226; ADC 没能在 Active Directory 中找到与 Exchange Server 5.5 邮箱关联的用户帐户。
ADC 使用一组对象匹配规则，在 Active Directory 中查找与 Exchange Server 5.5 邮箱匹配的相应用户。ADC 尝试查找这样的用户对象：其 objectSID 或 sIDHistory 属性与 Exchange Server 5.5 邮箱的“Microsoft Windows NT 主帐户”（又称 Assoc-NT-Account 属性）匹配。
如果 ADC 未能在 Active Directory 中找到 objectSID 或 sIDHistory 属性与邮箱的 Assoc-NT-Account 属性匹配的用户，ADC 就会在 Active Directory 中创建新的禁用用户。然后，ADC 会将该禁用用户的 msExchMasterAccountSID 属性设置为与 Exchange Server 5.5 邮箱的 Assoc-NT-Account 属性相匹配。
这样就可以确保，在该邮箱移至 Exchange 2000 服务器后，这个用户帐户（可能是 Microsoft Windows NT 4.0 帐户）依然可以顺利访问该邮箱。 %26#8226; Exchange Server 5.5 中的邮箱被标记为资源邮箱。
要将某个邮箱标记为资源邮箱，请在 Exchange Server 5.5 目录中，将该邮箱的自定义属性 10 设置为“NTDSNoMatch”。该设置指示 ADC 不要使用 objectSID 或 sIDHistory 属性尝试匹配用户。ADC 会创建禁用用户，然后将 msExchMasterAccountSid 属性设置为 SELF。此设置可以确保，对资源帐户具有相应权限的其他用户能够访问到该资源帐户。 %26#8226; 在 Active Directory 中，ADC 尝试将邮箱与之匹配的用户帐户已经具有邮件属性。该用户的 legacyExchangeDN 属性与该用户匹配的邮箱的 Exchange Server 5.5 可分辨名称也并不匹配。
如果同一 Windows NT 帐户关联了多个邮箱，或在 Active Directory 中为用户手动填充了一些邮件属性，就可能出现此问题。在这种情况下，ADC 会创建新的禁用用户。如果邮箱的 Assoc-NT-Account 属性已经设置为与林中另一用户帐户的 msExchMasterAccountSID 属性相同，ADC 将不填充该用户的 msExchMasterAccountSID 属性，因为林中的 msExchMasterAccountSID 属性值必须唯一。 ADC 创建这些禁用用户的原因如下： %26#8226; 为了确保 Exchange Server 5.5 目录中的所有邮箱（包括与该邮箱关联的所有邮件属性）都出现在 Active Directory 中。这样就可以确保，即使将所有用户帐户从 Windows NT 4.0 移动到 Active Directory 中的 Windows NT 迁移不是 100% 地完整，Exchange 2000“全球通讯簿”也是完整的。 %26#8226; 为了让管理员能够将某个用户的邮箱从 Exchange Server 5.5 计算机移动到 Exchange 2000 服务器上（即使该用户的登录帐户尚未迁移到 Active Directory 中，而仍处于某个 Windows NT 4.0 域中，也仍然能够移动）。 如果您启用这些禁用的帐户，然后用户使用这些帐户（不进行其他修改）登录，那么在 Exchange 中公用文件夹和委派都会出现问题。
当您试图获取对公用文件夹和委派邮箱的访问权限时，Exchange 信息存储区会使用多个 Active Directory 属性来计算权限。Exchange 2000 信息存储区访问控制列表 (ACL) 建立在安全标识符 (SID) 基础之上。这一点与 Exchange Server 5.5 不同，Exchange Server 5.5 对 ACL 使用 Exchange Server 5.5 可分辨名称。由于存在这样的差异，信息存储区有时候必须将可分辨名称转换为 SID，或是将 SID 转换为可分辨名称。Microsoft Outlook“权限”对话框也要求使用基于可分辨名称的 ACL。信息存储区用来计算权限的 Active Directory 属性包括： %26#8226; msExchUserAccountControl %26#8226; objectSid %26#8226; msExchMasterAccountSid
精品推荐