[原創]windows server 2012 AD架構試驗系列 – 18管理域和林信任[原創]windows server 2012 AD架構試驗系列 – 18管理域和林信任

先來了解下概念,看下面圖檔吧

<a href="http://s3.51cto.com/wyfs02/M01/5B/EE/wKioL1UXeOPR_400AAFRY6kRiKA316.jpg" target="_blank"></a>

域信任關系是有方向性的，如果A域信任B域，那麼A域的資源可以配置設定給B域的使用者；但B域的資源并不能配置設定給A域的使用者，如果想達到這個目的，需要讓B域信任A域才可以。

如果A域信任了B域，那麼A域的域控制器将把B域的使用者賬号複制到自己的Active Directory中，這樣A域内的資源就可以配置設定給B域的使用者了。從這個過程來看，A域信任B域首先需要征得B域的同意，因為A域信任B域需要先從B域索取資源。這點和我們習慣性的了解不同，信任關系的主動權掌握在被信任域手中而不是信任域

A域信任B域，意味着A域的資源有配置設定給B域使用者的可能性，但并非必然性！如果不進行資源配置設定，B域的使用者無法獲得任何資源！

1父子信任(Parent-Child Trust),具有轉移性,雙向信任

2樹-根信任(Tree-Root Trust),雙向具有轉移性

3 快捷方式信任 (ShortCut Trust),可以縮短驗證使用者身份的時間

比如在我們的試驗環境中,我們可以讓fuyulong.com和fuyufei.com建立一個快捷方式信任。

快捷方式信任僅僅有部分轉移性,也就是隻會向下擴充,不會向上擴充.

4林信任(forest Trust)

如果兩個林建立了信任關系,則林中所有的域都互相信任,看上去林信任具有雙向轉移性

但兩個林之間的信任關系無法自動擴充到其他第3個林上,是以林具有部分轉移性,但隻是針對林中的域.

5外部信任

什麼時候用到外部信任? 位于兩個林内的域之間可以通過外部信任來建立信任關系,但外部信任不具有轉移性

6領域信任

ADDS域可以和非windows系統的Kerberos領域之間建立信任

&lt;建立删除和管理信任關系,可以用netdom trust來管理&gt;

父子信任和樹-根信任都是在建立子域或樹域時候自動建立的

其他4種就必須手工建立了.

讓fuyulong 域和 fuyufei 域建立快捷信任(fuyulong.com  &lt;----(快捷信任)----fuyufei.com)

那麼fuyulong域需要建立一個傳入信任,而lab.com域需要建立一個傳出信任.

操作權限:domain admins 和 enterprise admins

在DC2 fuyulong.com上建立傳入信任

<a href="http://s3.51cto.com/wyfs02/M00/5B/F5/wKiom1UXd-3CW7qxAAHlvuO545M458.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M01/5B/EF/wKioL1UXeSaDOfOaAAEy4rB_EAk982.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M02/5B/EF/wKioL1UXeSeD1eUqAAFoKELP_Cc590.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M02/5B/F5/wKiom1UXd-7AkN3wAAG8TeedGb4534.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M00/5B/EF/wKioL1UXeSeQWOKXAAFVWAoYrds969.jpg" target="_blank"></a>

輸入fuyufei管理者賬号，直到下一步完成

這個過程指fuyulong可以複制fuyufei的賬号到fuyulong ADDS,

fuyufei的賬号可以通路fuyulong的域資源，但由于我選擇了　此域和指定域　和　确認傳入信任。

可以看兩邊都已經互相成了信任域。

<a href="http://s3.51cto.com/wyfs02/M00/5B/F5/wKiom1UXeBegFb3EAAGIcIhIvPY445.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M01/5B/EF/wKioL1UXeVCSPww2AAGpjtivJuk410.jpg" target="_blank"></a>

建立fuyi.com和lab.com 的信任關系，這次我門隻建立lab.com信任fuyi.com

我們現在DC7上建立DNS轉發器,避免出現dns引起的問題

<a href="http://s3.51cto.com/wyfs02/M01/5B/EF/wKioL1UXedzxTwsJAAGpE5U81G0788.jpg" target="_blank"></a>

在lab.com上建立立信任

<a href="http://s3.51cto.com/wyfs02/M02/5B/EF/wKioL1UXefPzfmfUAAFPq947PXE035.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M02/5B/F5/wKiom1UXeMjjSW26AAEwJTiSRE4478.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M00/5B/EF/wKioL1UXegHyqjINAAGIA0X0BT0803.jpg" target="_blank"></a>

選林信任，單向傳入

<a href="http://s3.51cto.com/wyfs02/M01/5B/EF/wKioL1UXejTw_uVyAAElogcv5S4210.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M01/5B/F5/wKiom1UXePuA5JHwAAHRsRMMOeM161.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M02/5B/EF/wKioL1UXejSh8Td0AAFYRgXw5TQ869.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M02/5B/F5/wKiom1UXePuC7w73AAFw4ncEFyM569.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M00/5B/EF/wKioL1UXejTQ1lfHAAD6MWwfxxI611.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M00/5B/F5/wKiom1UXePuz5VT-AAHwXr7BAJQ972.jpg" target="_blank"></a>

我們同理在fuyi.com域上來建立傳入信任關系

現在我們還沒有看到lab.com的信任關系

<a href="http://s3.51cto.com/wyfs02/M01/5B/F5/wKiom1UXeTjRt22rAAHC1J5SPHk141.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M02/5B/EF/wKioL1UXenGTdbFGAAFjzzq-3mg002.jpg" target="_blank"></a>

輸入信任密碼，點　确認傳出信任。

<a href="http://s3.51cto.com/wyfs02/M01/5B/F5/wKiom1UXeiDgUNPEAAEZij9sVy4893.jpg" target="_blank"></a>

再看下fuyi.com的信任關系

<a href="http://s3.51cto.com/wyfs02/M00/5B/EF/wKioL1UXe6jTdnPBAAG9TkT7EwM435.jpg" target="_blank"></a>

我們在dc1上随便建立一個檔案夾，看看資源可不可以調用lab.com的使用者

<a href="http://s3.51cto.com/wyfs02/M01/5B/EF/wKioL1UXe83xEQwiAAHte5WueP8647.jpg" target="_blank"></a>

<a href="http://s3.51cto.com/wyfs02/M01/5B/F5/wKiom1UXepTCc4uyAAKWb0Bk8r4304.jpg" target="_blank"></a>

同理：外部信任也一樣，隻是它沒有傳遞性。

到底是建立林信任還是建立外部信任看這兩個域是不是屬于同一個組織.

1-正常

你可以選擇keberos AES加密

如果重新确認對方域或者林之間的信任關系是否有效，你可以點下驗證.

<a href="http://s3.51cto.com/wyfs02/M00/5B/EF/wKioL1UXfBfy6HShAAJzd4OkhvA173.jpg" target="_blank"></a>

2-名稱字尾路由

使用者的UPN字尾來決定由哪個林的域控來驗證.

<a href="http://s3.51cto.com/wyfs02/M00/5B/F5/wKiom1UXewjSds9HAAH_aGwQuCI950.jpg" target="_blank"></a>

3-驗證方法

<a href="http://s3.51cto.com/wyfs02/M01/5B/F5/wKiom1UXexexUl6EAAGHRHxRw2c013.jpg" target="_blank"></a>

一般來說我們都選擇全林性身份驗證，但如果選擇“選擇性身份驗證”的話，則你需要在本林内的計算機上将允許身份驗證　權限給授予另外一個林内的使用者或者組。

假設DC55 share檔案夾，我們在AD管理中心，把lab1這個使用者标記為”允許身份驗證”

另外：父子和根－域信任是沒辦法删除的

本文轉自 bilinyee部落格，原文連結：  <b>http://blog.51cto.com/ericfu/1625314</b>      如需轉載請自行聯系原作者