阿里企业邮箱与AD域控集成：账号同步与统一认证配置指南
为什么需要将阿里企业邮箱与AD集成？
对于使用Microsoft Exchange自建邮件系统的企业，AD系统通常是整个办公环境的认证中心。AD账号关联了诸多业务应用，如果邮箱系统独立管理账号，不仅增加IT运维负担，还容易导致账号不一致、密码管理混乱等问题。通过将阿里企业邮箱与AD集成，可以实现：
- 账号自动同步：AD中的部门、用户、邮件组自动在阿里邮箱中创建或更新，无需手动添加。
- 统一认证：员工使用AD账号密码即可登录阿里邮箱，密码修改在AD侧完成，邮箱侧无需单独维护。
- 平滑迁移：从原有Exchange系统迁移至阿里邮箱时，组织架构和账号信息无缝衔接。
同步规则与注意事项
同步对象
阿里邮箱支持同步以下AD对象：
- 部门OU：对应阿里邮箱的组织架构。
- 用户账号（user）：对应阿里邮箱的邮箱账号。
- 邮件组（distribution group）：对应阿里邮箱的邮件组。
- 邮件组成员（group user）：自动同步组内成员关系。
同步范围与过滤
您可以选择同步整个域（DC）或指定组织单元（OU）。如果只想同步某个根OU，请确保不需要同步的对象不要放置在该根OU下，或者通过以下方式标记排除：
- 在OU的url属性中添加 nombx 字符标记。
- 在AD用户的 WWWHomePage 属性中添加 nombx 字符标记。
- 在安全组的 WWWHomePage 属性中添加 nombx 字符标记。
注意：OU下的通讯组默认全部同步，不支持单独排除。
同步操作类型
同步仅执行新增、禁用、更新操作，不会自动删除阿里邮箱中的账号、邮件组或部门。如果AD中删除了某个账号，阿里邮箱中对应的账号不会被删除，但会被禁用。如果AD中删除了账号后又新建同名账号，阿里邮箱会先将原账号重命名为 原账号_backup，再同步新建的账号。
同步周期
同步周期一般为分钟级别，最长不超过1小时。对于1000个账号，同步完成时间大约为5分钟。请确保AD服务器时间准确，如果有多台AD服务器之间同步，请确保用于直接同步阿里邮箱的那台AD服务器上的变更已生效。
重要提醒
- 别名管理：如果域管需要为账号添加超过两个别名，不建议同步 mail 属性。因为同步后AD的 mail 属性会覆盖阿里邮箱侧手动添加的别名，仅保留AD同步过来的别名地址。
- 多域支持：如果邮箱需要使用多个独立域名，请在AD同步前先在域管中添加多域子域，并新建多域账号，然后再进行AD同步。如果已先做AD同步再添加多域子域，已删除的账号无法恢复，历史数据需通过邮件转移功能备份。
- 离职员工管理：强烈建议维护一个“离职员工”OU，将离职员工的AD账号移入该OU并禁用，这样阿里邮箱会自动冻结该账号，即使员工手机App仍处于登录状态，也无法收发邮件。
同步字段映射说明
下表列出了默认支持的同步字段。除账号名外，其他字段支持自定义映射，您可以选择AD中的任意属性字段进行同步，也可以选择不同步某些字段。
| AD侧属性 | 阿里邮箱侧字段 | 说明 |
|---|---|---|
| cn | 姓名 | 默认昵称，对内显示 |
| sAMAccountName | 账号名 | 默认邮箱地址@前缀 |
| title | 职位 | — |
| telephoneNumber | 工作电话 | — |
| mobile | 手机 | — |
| 域别名/账号别名/独立多域账号 | 同步后阿里邮箱侧添加的别名会被覆盖 | |
| displayname | 自定义昵称 | 对外显示，发给外部邮件时收件人可见 |
| 无默认对应属性 | 默认昵称 | 企业内账号间可见 |
| 无默认对应属性 | 工号 | — |
邮件组同步特殊说明
无论是通讯组还是安全组，同步时需满足以下条件：
- sAMAccountName 必须符合邮箱账号名格式。
- Name 可以包含中文。
- Mail 必须符合邮箱地址格式。
- 组作用域可以是全局或通讯。
- 组内成员可以同步，外域组员需填写 mail 值。
认证规则与配置
完成认证配置后，阿里邮箱的鉴权中心将从邮箱系统切换到AD系统。当用户在客户端或网页端输入账号密码时，阿里邮箱通过标准LDAP协议查询企业AD服务，由AD系统校验账号和密码的正确性。
认证前提
- 创建postmaster账号：务必在AD侧创建 postmaster 账号，且该账号的 userPrincipalName 属性值必须与阿里邮箱侧的 postmaster 地址一致，否则认证后无法登录管理员邮箱。
- AD服务器公网可达：AD服务器地址和端口需要在公网开放，供阿里邮箱调用。建议设置ACL访问控制，仅允许阿里邮箱的源IP地址（如115.124.XX.XX、59.82.XX.XX）访问AD服务。
认证风险提示
一旦选择通过AD账号认证登录阿里邮箱，所有登录鉴权及密码修改操作均在AD服务器上完成。如果AD系统宕机，用户将无法登录邮箱。建议配置主备AD服务器进行认证，避免单点故障。
三种集成场景对比
根据企业需求，可以选择以下三种集成方式：
| 场景 | 说明 | 注意事项 |
|---|---|---|
| 只做同步，不做认证 | AD账号同步到阿里邮箱，但登录仍使用邮箱侧密码。 | 用户的 userPrincipalName 可以与登录邮箱地址不一致。同步后邮箱账号无密码，需在域管中手动设置密码。 |
| 只做认证，不做同步 | 使用AD账号密码登录阿里邮箱，但账号信息不同步。 | AD中所有需要认证登录的用户的 userPrincipalName 字段必须有邮箱地址值，且与登录邮箱地址一致。 |
| 既做同步又做认证 | AD账号同步到阿里邮箱，并使用AD账号密码登录。 | 除 postmaster 外，其他用户的 userPrincipalName 可以与登录邮箱地址不一致。登录必须使用AD账号密码，邮箱侧设置的密码无效。 |
重要：如果从“同步+认证”模式切换为“只同步不认证”或“只认证不同步”，请提前做好账号密码的备份和迁移准备。
属性获取方法
在配置同步字段映射时，需要获取AD对象的属性名称。操作步骤如下：
- 打开“Active Directory 用户和计算机”。
- 在“查看”菜单中勾选“高级功能”，否则无法看到AD对象的属性编辑器。
- 右键点击部门、用户或邮件组对象，选择“属性”。
- 切换到“属性编辑器”选项卡，找到所需属性。
小技巧：在属性列表中直接按键盘上的属性首字母，可以快速定位到目标属性。
常见问题与排错
同步延迟严重怎么办？
如果同步出现较严重延迟，部门、账号或邮件组长时间未同步到阿里邮箱，可以尝试刷新AD对象的任意非同步认证相关的关键属性值来触发同步。如果涉及对象较多，可以使用以下命令行批量操作：
方案1：使用csvde命令
csvde -f C:\Users\Administrator\Desktop\20210908.csv -r "(objectClass=user)" -d "OU=小OU,OU=大OU,DC=xxx,DC=com" -l "SamAccountName,Mail"注意：某些特殊属性（如 wWWHomePage）无法直接导出，可参考方案2。
方案2：使用PowerShell AD模块
- 在管理工具中打开“用于Windows PowerShell的ActiveDirectory模块”命令行窗口，或打开命令提示符输入 PowerShell 回车，再输入 import-module activedirectory 导入AD模块。
- 批量修改导出的CSV中账号的相关属性：
如何确保离职员工邮箱及时冻结？
建议在AD中维护一个“离职员工”OU，将离职员工的AD账号移入该OU并禁用。这样阿里邮箱会自动冻结对应的邮箱账号，即使员工手机App处于登录状态，也无法收发邮件。
AD服务器宕机了怎么办？
如果AD服务器宕机，用户将无法登录阿里邮箱。建议配置主备AD服务器进行认证，阿里邮箱支持主备AD认证，当一台AD服务器宕机时，可以自动切换到备用服务器。