主页 / server / 问题 / 648753
Accepted
joeqwerty
Asked: 2014-12-03 22:27:14 +0800 CST

跨林信任域的子域登录

  • 772

我在两个 Windows Server 2008 R2 域/林（Windows Server 2008 R2 的域和林功能级别）之间具有跨林信任。域 A 和 B 是其各自林中的林根域，域 C 是域 B 的子域。

A<->B--C

该信任是配置了林范围身份验证的双向传递林信任。当我查看每个域中的 TDO 对象时，我看到 domainB 有一个用于 domainA 和 domainC 的 TDO，但 domainC 只有一个用于 domainB 的 TDO。domainA 同样有一个仅用于 domainB 的 TDO。我在每个域的 Active Directory 域和信任中看到了同样的情况。

在 domainC 计算机上选择“登录到”下拉列表时，我只看到 domainB 和 domainC 列出。在 domainB 计算机上选择“登录到”下拉列表时，我看到 domainB、domainC 和 domainA 列出。在 domainA 计算机上选择“登录到”下拉列表时，我只看到 domainA 和 domainB 列出。

跨林 DNS 名称解析通过 domainA 和 domainB 之间的条件转发器在所有三个域之间工作，我可以成功地从 domainC 查询 domainA 中的 AD SRV 记录，反之亦然。

我不了解跨林信任中的域传递性吗？传递性不应该从 domainC 扩展到 domainA 吗？反之亦然？

编辑

根据瑞安的回答：

我已经开始考虑同样的事情，但我没有第一手经验与存在子域的森林信任，所以我不确定我应该看到什么。尽管传递性应该存在于域 A 和 C 之间，但不一定意味着“可见性”。我跑了nltest /dclist，nltest /dsgetdc而且nltest /dnsgetdc并且全部从域 A 成功返回到 C，反之亦然。让我感到困惑的是，当尝试将用户添加到域中的域本地组时，AI 只能在 Locations 中看到域 B 而不是域 C。这可能是预期的行为，但看起来很奇怪。例如，如果我想将域 C 用户添加到域中的远程桌面用户域本地组 AI 无法到达那里，因为我在域 A 的位置中看不到域 C。没有办法“嵌套”a域 B 组中的域 C 用户，然后将域 B 组添加到域 A 组（由于组范围）。因此，如果我想授予域 C 用户登录域 A 中的 RDS 服务器的访问权限，我将如何实现呢？

active-directory

1 个回答

  1. Best Answer

    我相信您在域 C 成员的“登录到”下拉框中看到的是正常行为。该下拉框将仅显示相邻的域（不包括传递性），但这不应阻止您使用用户名 DomainA\joeqwerty 或 joeqwerty@DomainA 登录到 DomainC 成员。如果您在使用 DomainC 的计算机时能够在下拉框中看到 DomainA 对您来说非常重要，那么您可以使用快捷方式信任来实现这一点。

    这份文件有一些很好的智慧：

    http://technet.microsoft.com/en-us/library/cc773178(v=WS.10).aspx

    如，

    信任搜索限制

    当客户端搜索出信任路径时，搜索仅限于直接与域建立的信任以及在林内可传递的信任。例如，子域不能在其父域和另一个林中的域之间使用外部信任。这是因为必须先构建完整的信任路径，然后客户端才能开始沿着通往所请求资源域的路径工作。Windows Server 2003 不支持盲转；如果客户端无法识别信任路径，它将不会尝试访问另一个域中的请求资源。子域无法向其林之外的安全机构识别外部信任或领域信任，因为代表这些信任的 TDO 仅在共享信任的域内发布，不是全局目录。因此，客户端不知道他们的域与其父域或子域以外的安全机构共享的信任，因此无法使用它们来访问资源。

    编辑

    根据您的编辑：

    例如，如果我想将域 C 用户添加到域 AI 中的远程桌面用户域本地组中，则无法到达那里，因为我在域 A 的位置中看不到域 C。

    这可能是迂腐的，但我个人根本不会将用户添加到远程桌面用户域本地组。我只会在其中嵌套安全组，而不是单个用户/帐户。下面链接到的 TechNet 文章还建议使用和嵌套基于角色的访问控制安全组作为最佳实践，而不是将个人权限分配给资源。

    无论如何，从下面的 TechNet 链接：

    • 具有域本地范围的组可以具有以下成员：帐户、具有通用范围的组和具有全局范围的组，它们都来自任何域。该组还可以将同一域内具有域本地范围的其他组作为成员。

    和，

    要将一个林中需要对不同林中相同资源具有类似访问权限的用户分组，请创建与全局组角色对应的通用组。例如，在 ForestA 中，创建一个名为 SalesAccountsOrders 的通用组，并将全局组 SalesOrder 和 AccountsOrder 添加到该组。

    要记住的另外两件事可能有助于您实现此目标，即组策略受限组将所需组添加到远程桌面用户，以及“允许通过终端服务登录”用户权限。

    您可能无法通过传递信任以图形方式浏览其他林中的帐户，但只需输入完全限定的帐户名称，例如[email protected]orDomainA\GroupInDomainA等​​。

    更多资源：

    http://technet.microsoft.com/en-us/library/cc772808(v=WS.10).aspx

    http://technet.microsoft.com/en-us/library/cc776499(v=ws.10).aspx

    • 3

相关问题