Regras para a cadeia de caracteres do nome de usuário do Active Directory

Pesquisei no Google, mas não consegui encontrar um conjunto adequado de restrições no nome do usuário na configuração do Active Directory.

Por favor, ajude-me a dizer quais são os caracteres especiais que não são permitidos nas configurações de nome de usuário do Active Directory.

A aspas simples (') é permitida ou não.

Aqui estão os documentos que você está procurando:

Contas de usuário e grupo
Computadores, domínios, sites e OUs

Basicamente, os nomes de usuário podem conter um caractere de aspas simples, mas os nomes de computador não.

Esses documentos são muito antigos, mas se era assim no Win2000, você pode apostar que as versões atuais mantêm as limitações de compatibilidade com versões anteriores.

RFC 2253

Os nomes dos objetos principais de segurança podem conter todos os caracteres Unicode, exceto os caracteres LDAP especiais definidos na RFC 2253. Essa lista de caracteres especiais inclui: um espaço à esquerda; um espaço à direita; e qualquer um dos seguintes caracteres: #, + "\ <>;

Microsoft

Os nomes de logon não podem conter determinados caracteres. Caracteres inválidos são

"/ \ []:; | =, + *? <>

Os nomes de logon podem conter todos os outros caracteres especiais, incluindo espaços, pontos, traços e sublinhados. Mas geralmente não é uma boa ideia usar espaços nos nomes das contas.

Microsoft em sAMAccountName

• Todos os caracteres imprimíveis são permitidos nos valores sAMAccountName, exceto o seguinte: "[]:; | = + *? <> / \,
• O caractere de ponto final "." É permitido, mas não pode ser o caractere final no sAMAccountName.
• Caracteres não imprimíveis não são permitidos. Isso inclui todos os caracteres com códigos ASCII menores que 32 decimais (20 hex). Além disso, o
  caractere de controle Excluir, com código ASCII 127 decimal (7F hex), não é permitido.
• Usuários e computadores do Active Directory (ADUC) não permitirão que você atribua um valor ao atributo sAMAccountName que inclua o
  caractere "@" . No entanto, você pode fazer isso no código. Por exemplo, o
  cmdlet Set-ADUser permite atribuir um sAMAccountName com esse
  caractere. Mas você não pode fazer logon em um domínio usando um sAMAccountName
  que inclua o caractere "@". Se um usuário tiver um sAMAccountName com
  esse caractere, ele deverá fazer logon usando seu userPrincipalName (UPN).
  Veja a nota abaixo.
• O esquema permite 256 caracteres nos valores sAMAccountName. No entanto, o sistema limita sAMAccountName a 20 caracteres para objetos do usuário
  e 16 caracteres para objetos do computador.