本文提供 Active Directory 连接器 (ADC) 所创建的禁用帐户的有关信息，并介绍如何启用这些禁用的帐户。
关于 ADC 所创建的禁用帐户的常规信息
一般情况下，不应启用 Exchange 2000 ADC 所创建的禁用帐户并使用这些帐户登录。ADC 创建的这些帐户仅用作占位帐户，代表从 Microsoft Exchange Server 5.5 目录复制的邮箱。以下原因会导致 ADC 在 Active Directory 中创建禁用的用户：
| %26#8226; | ADC 没能在 Active Directory 中找到与 Exchange Server 5.5 邮箱关联的用户帐户。
ADC 使用一组对象匹配规则，在 Active Directory 中查找与 Exchange Server 5.5 邮箱匹配的相应用户。ADC 尝试查找这样的用户对象：其 objectSID 或 sIDHistory 属性与 Exchange Server 5.5 邮箱的“Microsoft Windows NT 主帐户”（又称 Assoc-NT-Account 属性）匹配。
如果 ADC 未能在 Active Directory 中找到 objectSID 或 sIDHistory 属性与邮箱的 Assoc-NT-Account 属性匹配的用户，ADC 就会在 Active Directory 中创建新的禁用用户。然后，ADC 会将该禁用用户的 msExchMasterAccountSID 属性设置为与 Exchange Server 5.5 邮箱的 Assoc-NT-Account 属性相匹配。
这样就可以确保，在该邮箱移至 Exchange 2000 服务器后，这个用户帐户（可能是 Microsoft Windows NT 4.0 帐户）依然可以顺利访问该邮箱。 |
| %26#8226; | Exchange Server 5.5 中的邮箱被标记为资源邮箱。
要将某个邮箱标记为资源邮箱，请在 Exchange Server 5.5 目录中，将该邮箱的自定义属性 10 设置为“NTDSNoMatch”。该设置指示 ADC 不要使用 objectSID 或 sIDHistory 属性尝试匹配用户。ADC 会创建禁用用户，然后将 msExchMasterAccountSid 属性设置为 SELF。此设置可以确保，对资源帐户具有相应权限的其他用户能够访问到该资源帐户。 |
| %26#8226; | 在 Active Directory 中，ADC 尝试将邮箱与之匹配的用户帐户已经具有邮件属性。该用户的 legacyExchangeDN 属性与该用户匹配的邮箱的 Exchange Server 5.5 可分辨名称也并不匹配。
如果同一 Windows NT 帐户关联了多个邮箱，或在 Active Directory 中为用户手动填充了一些邮件属性，就可能出现此问题。在这种情况下，ADC 会创建新的禁用用户。如果邮箱的 Assoc-NT-Account 属性已经设置为与林中另一用户帐户的 msExchMasterAccountSID 属性相同，ADC 将不填充该用户的 msExchMasterAccountSID 属性，因为林中的 msExchMasterAccountSID 属性值必须唯一。 |
ADC 创建这些禁用用户的原因如下：
| %26#8226; | 为了确保 Exchange Server 5.5 目录中的所有邮箱（包括与该邮箱关联的所有邮件属性）都出现在 Active Directory 中。这样就可以确保，即使将所有用户帐户从 Windows NT 4.0 移动到 Active Directory 中的 Windows NT 迁移不是 100% 地完整，Exchange 2000“全球通讯簿”也是完整的。 |
| %26#8226; | 为了让管理员能够将某个用户的邮箱从 Exchange Server 5.5 计算机移动到 Exchange 2000 服务器上（即使该用户的登录帐户尚未迁移到 Active Directory 中，而仍处于某个 Windows NT 4.0 域中，也仍然能够移动）。 |
如果您启用这些禁用的帐户，然后用户使用这些帐户（不进行其他修改）登录，那么在 Exchange 中公用文件夹和委派都会出现问题。
当您试图获取对公用文件夹和委派邮箱的访问权限时，Exchange 信息存储区会使用多个 Active Directory 属性来计算权限。Exchange 2000 信息存储区访问控制列表 (ACL) 建立在安全标识符 (SID) 基础之上。这一点与 Exchange Server 5.5 不同，Exchange Server 5.5 对 ACL 使用 Exchange Server 5.5 可分辨名称。由于存在这样的差异，信息存储区有时候必须将可分辨名称转换为 SID，或是将 SID 转换为可分辨名称。Microsoft Outlook“权限”对话框也要求使用基于可分辨名称的 ACL。信息存储区用来计算权限的 Active Directory 属性包括：
如果您对本文有任何疑问或者建议，请到讨论区发表您的意见:
>>
论坛入口 <<
上一篇：
SETUP /FORESTPREP 命令不起作用 下一篇：
在Cisco PIX防火墙后无法收发电子邮件
【文章评论】
【收藏本文】
【推荐好友】
【打印本文】
【我要投稿】 【论坛讨论】
