13、Active Directory Domain Services 基础指南

Active Directory Domain Services 基础指南

1. 理解域信任

1.1 跨林域信任的演变

过去，跨林的域信任需要为每个域单独显式定义信任关系，这导致信任关系呈指数级增长，管理难度极大。Windows 2003 将信任关系提升到了新的功能水平，引入了传递信任，能在“林树”中自动提供“上下”路径。这种信任关系更易于理解和故障排除，极大地提高了 Windows 网络的可管理性。

1.2 传递信任的概念

当创建子域或将域树添加到 AD DS 林时，会自动建立双向传递信任。传递信任通常是双向的，每个域都信任另一个域。也就是说，如果用户在另一个域中被明确授予了权限，那么每个域中的用户都可以访问该域中的打印机或服务器等资源。但要注意，两个域之间存在信任关系并不意味着一个域的用户可以自动访问另一个域中的所有资源，这只是访问这些资源的第一步，还需要应用适当的权限。

1.3 显式信任的理解

显式信任是手动设置的，类似于 Windows NT 信任的构建方式。例如，可以设置一个信任将两个不相关的域树加入到同一个林中。显式信任是单向的，但可以建立两个显式信任来创建双向信任。对于低版本（Windows 2003 功能模式之前）的林，需要显式信任，因为跨林传递信任只有在林处于 Windows Server 2003 或 2008 功能模式时才可用。

显式信任还有以下两种特殊类型：
- 快捷信任 ：当设置显式信任以加快信任从一个子域流向另一个子域时，称为快捷信任。快捷信任可以使身份验证验证处理得更快，而无需在域树中上下移动。例如，在 asia