Выборочная проверка подлинности между лесами

Используя оснастку «Active Directory — домены и доверие», можно определять область проверки подлинности между двумя лесами, которые соединены доверием лесов. Для входящих и исходящих доверий лесов можно задать выборочную проверку подлинности по-разному. При использовании выборочных доверий администраторы могут принимать решения о гибком управлении доступом в лесу. Дополнительные сведения о задании выборочной проверки подлинности см. в разделе Выбор области проверки подлинности для пользователей.

При использовании проверки подлинности в лесу на входящем доверии лесов пользователи из внешнего леса имеют тот же уровень доступа к ресурсам в локальном лесу, как и пользователи, которые принадлежат локальному лесу. Например, если лес А имеет входящее доверие лесов из леса Б и используется проверка подлинности в лесу, пользователи из леса Б будут иметь доступ к любому ресурсу в лесу А (предполагая, что они имеют требуемые разрешения).

При задании выборочной проверки подлинности на входящее доверие лесов необходимо вручную назначить разрешения для каждого компьютера в домене, а также для ресурсов, к которым у пользователей из второго леса должен быть доступ. Для этого в оснастке «Active Directory — пользователи и компьютеры» во втором лесу задайте право управления доступом Разрешено проверить подлинность объекту компьютера, в котором размещается ресурс. Затем разрешите доступ пользователей или групп к конкретным ресурсам, которые требуется открыть для совместного использования.

Когда пользователь выполняет проверку подлинности через доверие с включенным параметром Выборочная проверка подлинности, код безопасности (SID) другая_организация добавляется к данным авторизации пользователя. Наличие этого кода безопасности предлагает проверку домена ресурсов, чтобы убедиться, что пользователю разрешена проверка подлинности в конкретной службе. Как только пользователь прошел проверку подлинности, сервер, в котором он проверяет подлинность, добавляет код безопасности данная_организация, если код безопасности другая_организация уже не присутствует. Только один из этих специальных кодов безопасности может присутствовать в контексте пользователя, прошедшего проверку. Дополнительные сведения о выборочной проверке подлинности см. в разделе Аспекты безопасности для доверия. (Может быть на английском языке.)

Администраторы в каждом лесу могут добавлять объекты из одного леса в списки управления доступом (ACL) для общих ресурсов в другом лесу. С помощью редактора списка управления доступом можно выполнять добавление или удаление объектов из одного леса в списки управления доступом для ресурсов в другом лесу. Дополнительные сведения о задании разрешений для ресурсов см. в разделе Задание разрешений для общего ресурса.

Сведения о задании ограничений проверки подлинности для внешних доменов см. в разделе Доступ к ресурсам через домены.

Маршрутизация суффиксов имен между лесами Маршрутизация суффиксов имен между лесами

Маршрутизация суффикса имен представляет собой механизм маршрутизации запросов на проверку подлинности между лесами системы Windows Server 2003, объединенными доверием лесов. Чтобы упростить администрирование запросов проверки подлинности при первоначальном создании доверия лесов, все уникальные суффиксы имен маршрутизируются по умолчанию. Уникальный суффикс имен — это суффикс имен внутри леса, такой как суффикс основного имени пользователя (UPN), суффикс имени участника службы (SPN), DNS-имени леса или имени дерева доменов, который не подчинен никакому другому суффиксу имен. Например, DNS-имя леса microsoft.com является уникальным суффиксом имен внутри леса microsoft.com.

Леса могут содержать несколько уникальных суффиксов имен, и все их дочерние суффиксы маршрутизируются неявно. В связи с этим, в оснастке «Active Directory — домены и доверие» перед суффиксами имен отображается символ звездочки (*). Например, если лес использует *.microsoft.com в качестве уникального суффикса имен, то запросы проверки подлинности для всех дочерних доменов microsoft.com (*.child.microsoft.com) будут маршрутизироваться, так как дочерние домены являются частью суффикса имен microsoft.com.

Если между двумя лесами существует доверие лесов, то суффиксы имен, не существующие в одном лесу, могут использоваться для маршрутизации запросов проверки подлинности другому лесу. При добавлении нового дочернего суффикса имен (*.child.widgets.com) к уникальному суффиксу имен (*.widgets.com) дочерний суффикс будет наследовать настройку маршрутизации уникального суффикса имен, которому он принадлежит. Новые уникальные суффиксы имен, созданные после установления доверия лесов, будут видимыми в диалоговом окне Свойства отношения доверия лесов после проверки доверия. Однако маршрутизация для новых уникальных суффиксов имен будет по умолчанию отключена. Дополнительные сведения о проверке доверия см. в разделе Проверка доверия.

При обнаружении дублирующего суффикса имен маршрутизация самого нового суффикса имен будет отключена по умолчанию. Дополнительные сведения о маршрутизации суффиксов имен см. в разделе Включение или отключение маршрутизации существующего суффикса имен. Администраторы могут использовать диалоговое окно Свойства отношения доверия лесов, чтобы вручную помешать маршрутизации в лес запросов проверки подлинности для специальных суффиксов имен.

Примечания

• Не следует добавлять знак @ к суффиксу UPN или имени пользователя. При маршрутизации запросов проверки подлинности в доверенный лес все символы перед первым символом @ интерпретируются как имя пользователя, а все символы после него — как суффикс UPN.

• Локальный администратор безопасности (LSA) будет блокировать маршрутизацию для любого суффикса UPN, не являющегося действительным DNS-именем. Например, добавление символа @ к суффиксу UPN приведет к ее автоматическому отключению.