M365

Benutzerprinzipalname (UPN)

Overview

Der Benutzerprinzipalname (User Principal Name, UPN) ist der Anmeldename eines Kontos im Internetformat präfix@suffix, z. B. anna.berger@firma.de. In Microsoft Entra ID ist er der Benutzername für die Anmeldung an Microsoft 365, Azure und angebundenen Apps und muss im Tenant eindeutig sein.

Der UPN sieht aus wie eine E-Mail-Adresse, ist aber ein eigenes Attribut. Die primäre SMTP-Adresse kann abweichen, Microsoft empfiehlt aber, UPN und Mailadresse anzugleichen, weil Benutzer sonst zwei unterschiedliche Adressen verwechseln.

In Hybridumgebungen übernimmt Entra Connect den UPN aus dem lokalen AD. Endet das Suffix auf eine nicht verifizierte Domäne wie firma.local, ersetzt Entra ID es durch die onmicrosoft.com-Domäne. Die Anmeldung mit der E-Mail-Adresse als alternativer Anmelde-ID ist in Entra ID nur als öffentliche Vorschau verfügbar.

How it works

Der UPN entsteht und wirkt so:

  1. Im lokalen AD besteht er aus Anmeldename und UPN-Suffix. Zusätzliche Suffixe legst Du in Active Directory-Domänen und -Vertrauensstellungen an.
  2. Entra Connect synchronisiert standardmäßig das Attribut userPrincipalName. Ist die Domäne in Entra ID verifiziert, wird sie übernommen, sonst greift das Suffix onmicrosoft.com.
  3. Alternativ kann Entra Connect ein anderes Attribut wie mail als Anmelde-ID verwenden (Alternate Login ID), was aber Nebenwirkungen bei Apps hat.
  4. Eine UPN-Änderung wirkt sich auf viele Stellen aus: OneDrive-URL, Outlook-Profile, Teams-Besprechungsnotizen, SSO auf hybrid verbundenen Geräten und gespeicherte Anmeldungen in Apps.
  5. In Cloud-only-Konten änderst Du den UPN im Admin Center, in Entra ID oder per Graph.

Benefits

  • Eindeutige, dienstübergreifende Anmeldung, die Benutzer sich leicht merken, wenn sie der Mailadresse entspricht
  • Mehrere Suffixe erlauben unterschiedliche Marken oder Gesellschaften in einem Tenant
  • Gleiches Format in AD und Entra ID vereinfacht SSO und Fehlersuche
  • Saubere UPNs sind Voraussetzung für eine reibungslose Synchronisierung

Practical example

Ein Handelsunternehmen mit 140 Mitarbeitenden nutzte im AD das Suffix firma.local und meldete sich deshalb in Microsoft 365 mit Adressen auf firma.onmicrosoft.com an. Die IT fügt im AD das Suffix firma.de hinzu, gleicht UPN und primäre Mailadresse an und testet die Umstellung zuerst mit zehn Pilotkonten. Nach der Synchronisierung melden sich alle Benutzer mit ihrer Mailadresse an, OneDrive-Links werden über die Weiterleitung aufgefangen.

Things to keep in mind

  • UPN-Änderungen in einem dokumentierten Verfahren mit bekannten Nebenwirkungen und Workarounds durchführen
  • Nicht routingfähige Suffixe wie .local vor der ersten Synchronisierung ersetzen, das spart spätere Massenänderungen
  • UPN und primäre SMTP-Adresse angleichen, wo es organisatorisch möglich ist
  • Bei hybrid verbundenen Geräten darauf achten, dass der neue UPN synchronisiert ist, bevor sich Benutzer neu anmelden
  • Alternate Login ID und E-Mail als Anmelde-ID nur bewusst und nach Test einsetzen

Conclusion

Ein sauberer UPN erspart viele Anmeldeprobleme. Gleiche ihn früh mit der Mailadresse ab und plane Änderungen später wie einen kleinen Change.

Further reading

Related articles