Нетранзитивное доверительное отношение
Нетранзитивное доверительное отношение ограничено двумя доменами, входящими в его состав, и не перемещается в другие домены леса. Нетранзитивное доверительное отношение может быть односторонним или двусторонним.
Нетранзитивные доверительные отношения по умолчанию являются односторонними, однако можно также создавать двусторонние доверительные отношения; для этого необходимо создать два односторонних доверительных отношения. Таким образом, нетранзитивные доверительные отношения доменов могут быть установлены только между следующими доменами и сферами:
домен Windows Server 2003 и домен Windows NT;
домен Windows Server 2003 в одном лесу и домен из другого леса (если между этими лесами не установлены доверительные отношения).
При помощи мастера создания нового доверительного отношения можно вручную создать следующие нетранзитивные доверительные отношения.
Внешнее доверительное отношение. Нетранзитивное доверительное отношение, созданное между доменами Windows Server 2003 и Windows NT или между доменом Windows 2000 и доменом Windows Server 2003 другого леса. При обновлении домена Windows NT до Windows Server 2003 все существующие доверительные отношения остаются без изменений. Все доверительные отношения между доменами Windows Server 2003 и доменами Windows NT являются нетранзитивными.
Отношения доверия со сферой. Нетранзитивное доверительное отношение между доменом Active Directory и сферой Kerberos V5. Дополнительные сведения о сфере Kerberos V5 см. в разделе Проверка подлинности Kerberos V5.
Дополнительные сведения о типах доверительных отношений см. в разделе Типы доверия.
Когда следует создавать внешнее доверие Когда следует создавать внешнее доверие
Внешнее доверие можно создавать для формирования одностороннего или двустороннего нетранзитивного доверия с доменами вне леса. Внешние доверия иногда применяются, когда пользователям необходим доступ к ресурсам, расположенным в домене Windows NT 4.0 или в домене, расположенном внутри отдельного леса, с которым не установлено доверие лесов, как показано на рисунке.
Когда доверие установлено между доменом в конкретном лесу и доменом вне данного леса, участники безопасности из внешнего домена получают доступ к ресурсам во внутреннем домене. Active Directory создает объект «Участник внешней безопасности» во внутреннем домене для представления каждого участника безопасности из внешнего доверенного домена. Данные участники внешней безопасности могут становиться членами локальных групп домена во внутреннем домене. В локальные группы домена могут входить члены из доменов, находящихся вне леса.
Объекты каталога для участников внешней безопасности создаются Active Directory и не должны изменяться вручную. Объекты участников внешней безопасности можно просмотреть в оснастке «Active Directory — пользователи и компьютеры», включив дополнительные параметры. Сведения о включении дополнительных параметров см. в разделе Чтобы просмотреть дополнительные функции.
В доменах, работающих в смешанном режиме Windows 2000, рекомендуется удалять внешние доверия с контроллера домена, работающего под управлением Windows Server 2003. Внешние доверия с доменами Windows NT 4.0 или 3.51 могут быть удалены уполномоченными администраторами на контроллерах домена, работающих под управлением Windows NT 4.0 или 3.51. Тем не менее, на контроллерах домена, работающих под управлением Windows NT 4.0 или 3.51, может быть удалена только доверенная сторона отношения. Доверяющая сторона отношения (созданная в домене Windows Server 2003) не удаляется, и, хотя отношение доверия не функционирует, оно будет отображаться в оснастке «Active Directory — домены и доверие». Чтобы полностью удалить доверие, необходимо удалить его с контроллера домена, работающего под управлением Windows Server 2003 в доверяющем домене. Если внешнее доверие было непреднамеренно удалено с контроллера домена, работающего под управлением Windows NT 4.0 или 3.51, необходимо воссоздать его с любого контроллера домена, работающего под управлением Windows Server 2003 в домене-доверителе.
Дополнительные сведения о создании внешнего доверия см. в разделе Создание внешнего доверия.