46、Windows Server 2003 森林与域功能全解析

Windows Server 2003 森林与域功能全解析

1. 跨森林认证

跨森林认证有两种形式：
- 默认森林范围认证 ：采用“允许所有，拒绝部分”的方法，外部用户对本地资源的访问权限与本地用户相同。
- 选择性认证 ：采用“拒绝所有，允许部分”的安全策略，需要更多的管理开销。要为需要从其他森林访问的用户和组在对象上设置“允许进行身份验证”的控制访问权限。启用选择性认证后，会为用户关联一个“其他组织 SID”，用于区分外部用户和本地用户，并确定是否可以尝试对目标服务进行身份验证。

为了使用 Kerberos 进行可靠的身份验证，所有工作站和服务器的系统时间必须准确。服务器最好与同一时间源同步，而工作站则与服务器同步时间。在升级后的 Active Directory 域中，这通常不是问题。

2. 新的域范围功能

2.1 域控制器重命名

与域重命名不同，域控制器重命名无需遵循 Windows 2000 中降级、重命名和重新提升的过程。在大型域中，尤其是在慢速 WAN 链路上，这可以节省大量时间，因为重新提升 DC 需要复制 Active Directory。

2.2 通用组和组转换

通用组可以包含任何森林中任何域的成员，并复制到全局编录 (GC)，对管理组特别有用。可以将域用户帐户添加到具有全局作用域的组中，并将这些全局组嵌套在通用组中。例如，在不同森林中有两个域 CATS 和 DOGS，每个域都有一个名为 Birdwatchers 的全局组。可以将这两个全局组添加到一个名为 ALLBirdwa