Использование двустороннего доверия лесов

Двустороннее доверие лесов между двумя лесами разрешает членам из любого леса неявно использовать ресурсы, расположенные в другом лесу, домены в каждом соответствующем доверии лесов, домены в другом лесу. Например, когда двустороннее доверие лесов устанавливается между лесом А и лесом Б, члены леса А могут иметь доступ к ресурсам, расположенным в лесу Б, и члены леса Б могут иметь доступ к ресурсам леса А, используя то же доверие.

Доверия лесов Доверия лесов

В лесу Windows Server 2003 можно связать два отдельных леса Windows Server 2003 односторонними или двухсторонними отношениями транзитивного доверия. Двухстороннее доверие лесов используется для формирования транзитивного доверительного отношения между всеми доменами в обоих лесах.

Доверия лесов предоставляют следующие преимущества:

• упрощенное управление ресурсами через два леса Windows Server 2003 за счет уменьшения числа внешних доверий, необходимых для совместного использования ресурсов;

• полные двухсторонние отношения доверия со всеми доменами в каждом лесу;

• использование проверки подлинности основного имени пользователя через два леса;

• использование протоколов проверки подлинности Kerberos V5 и NTLM для повышения надежности данных авторизации, передаваемых между лесами;

• гибкость администрирования; задачи администрирования могут быть индивидуальными для каждого леса.

Доверия лесов могут быть созданы только между двумя лесами и не могут быть неявно расширены до третьего леса. Это означает, что если доверие лесов создано между лесами 1 и 2, а также между лесами 2 и 3, то лес 1 не будет иметь неявного доверительного отношения с лесом 3. Дополнительные сведения о требованиях к довериям лесов см. в разделе Когда необходимо создавать доверие лесов.

Примечания

• В лесу Windows 2000, если пользователям в одном лесу необходим доступ к ресурсам в другом лесу, администратор может создать внешнее отношение доверия между двумя доменами. Внешние доверия могут быть односторонними или двухсторонними и являются нетранзитивными, поэтому они ограничивают возможность расширения путей доверия на другие домены. Дополнительные сведения о внешних довериях см. в разделе Типы доверия.

• Во всех довериях в Windows Server 2003 Active Directory в некоторой степени используется фильтрация идентификаторов безопасности. Внешние доверия по умолчанию помещаются в карантин, что препятствует прохождению доверительного отношения идентификаторами безопасности всех доменов, кроме доверенных доменов, помещенных в карантин. Фильтрация SID используется для предотвращения атаки злоумышленников, пытающихся назначить учетной записи повышенные привилегии. Фильтрация идентификаторов безопасности в довериях лесов не отменяет использования журнала идентификаторов безопасности при миграции в домены в пределах одного леса и не влияет на стратегию управления доступом к универсальной группе. Дополнительные сведения о фильтрации SID см. в разделе Когда следует создавать внешнее доверие.