域林之间的信任关系.docx
《域林之间的信任关系.docx》由会员分享，可在线阅读，更多相关《域林之间的信任关系.docx（16页珍藏版）》请在冰点文库上搜索。
域林之间的信任关系
域林之间的信任关系
利用WIN2003创建的AD（域林）中的各个域之间的信任关系默许确实是双向信任可传递的。
那么，若是企业的应用中若是显现了两个林或更多的林时，还要进行彼此的资源访问时，咱们该如何办?
因为默许只是同在一个域林中才能双向信任可传递，两个域林（AD）间没有那个关系，那么就需要咱们手动来配置域林之间的信任关系，从而来保证不同域林中的资源互访。
比如说企业之间的兼并问题，两个公司之前都利用的是MS的AD来治理，那么大伙儿可想而知这两家企业之前确信是两个域林，那么此刻兼并后，如何让这两个域林之间能够成立信任关系吗?
都有什么方式呢?
那今天咱们就来学习一下如何创建域林之间的信任关系!
在一个林中林之间的信任分为外部信任和林信任两种：
⑴外部信任是指在不同林的域之间创建的不可传递的信任
⑵林信任是WindowsServer2003林根域之间成立的信任，为任一域林内的各个域之间提供一种单向或双向的可传递信任关系。
1.创建外部信任
创建外部信任之前需要设置DNS转发器：
在两个林的DC之间的DNS效劳器各配置转发器：
在域中能解析，在域中能解析
⑴第一咱们在域的DC上配置DNS效劳器设置转发器，把所有域的解析工作都转发到这台机械上：
配置后DNS转发后去PING一下，看是不是连通，若是通即可：
然后再在另一个域中的DC的DNS效劳器也一样设置DNS转发，把的转发到的机械上来：
一样PING一下，看是不是能PING通：
⑵预备工作做好后，就开始创建外部信任：
第一在域的DC上打开"AD域和信任关系"工具，在域的"属性"中的"信任"选项卡：
单击"新建信任"：
输入信任名称（那个地址要注意是你那个域要信任的域）：
选择"单向：
别传"：
双向：
本地域信任指定域，同时指定域信任本地域
单向：
内传：
指定域信任本地域（换句话说确实是，你信任我的关系）
单向：
别传：
本地域信任指定域（例如，域信任域，我信任你的关系）
注意：
由于信任关系是在两个域之间成立的，若是在域A（本地域）成立一个"单向：
别传"信任，
那么需要在域B（指定域）必需成立一个"单向：
内传"信任.但如果是选择了"那个域和指定的域"单项选择按钮，就会在指定域自动成立一个"单向：
内传"的信任!
输入指定域中有治理权限的用户名和密码：
⑶创建完成后，验证方式能够利用：
在域的DC上查看信任关系：
在域的DC上查看信任关系：
还有一种验证方式确实是被信任域的用户能够到信任域的运算机上登录，
在信任域的运算机上的登录对话框中有被信任域名，说明能够输入被信任域的帐户登录（前提是要给予该帐户登录的权限）：
可是不是能登录仍是要看权限，因为默许情形下是不能登录到DC的，那么在本地域的"域操纵器平安策略"中打开"平安策略-"本地策略"-""用户权限分派"-"许诺在本地登录"中添加被信任域的治理员即可!
⑷林之间的外部信任的特点：
手工成立
林之间的信任关系需要手工创建
信任关系不可传递
林中的域的信任关系是不可传递的
例如，域A直接信任域B，域B直接信任域C，不能得出域A信任域C的结论
信任方向有单向和双向两种
单向分为内传和别传两种
内传指指定域信任本地域
别传指本地域信任指定域
⑸创建好林中的信任关系后能够进行跨域访问资源
应用AGDLP规那么实现跨域访问
具体规那么是：
①被信任域的帐户加入到本域的全局组
②被信任域的全局组加入到信任域的本地域组
③给信任域的本地域组设置权限
2.创建林信任
外部信任为不同域之间跨域访问资源提供了方式，但如果是两个林中有许多域，要跨域访问资源就需要常见很多个外部信任，有无简单方式呢?
固然是有的，那确实是只用在林根域之间成立林信任就不需要创建多个外部信任，因为林信任是可传递的。
创建林信任与创建外部信任的方式类似，不同的是在创建林信任之前要升级林功能级别为WindowsServer2003模式。
（说明一下，在WIN2003中创建的域模式共有三种，NT混合模式，WIN2000本机模式和WIN2003纯模式，域模式是用来为了兼容老版本操作系统的域操纵器，而限制某些新的功能。
）这是创建林信任的前提条件。
升级林功能级别之前，
需要将林中所有域的域功能级别设置为WIN2000模式或WIN2003模式。
⑴第一提升域功能级别
⑵在提升林级别
⑶第一在域的DC上打开"AD域和信任关系"工具，在域的"属性"中的"信任"选项卡，在信任类型当选择"林信任"：
⑷选择"单向：
别传"：
⑸选择"全林性身份验证"，WINS将自动对指定林的所有效户利用本地林的所有资源进行身份验证：
⑹完成林信任的创建
⑺验证方式：
各自查看信任关系：
林信任的特点：
①林功能级别为WindowsServer2003才能创建
②只有在林根域之间才能创建
③在成立林信任的两个林中的每一个域之间的信任关系是可传递的
④信任方向有单向和双向两种
升级会员 