创建可传递的林信任

         在实战详解域信任关系中&＃xff0c;我们介绍了如何创在两个域之间创建域信任关系。实战的结果是我们在itet.com和homeway.com之间成功创建了信任关系&＃xff0c;达到了预期目的。但我们打开域控制器上的Active Directory域和信任工具&＃xff0c;可以从下图中发现&＃xff0c;itet.com和homeway.com之间的信任关系是不可传递的&＃xff01;这个要引起我们的关注。

 

         如果域之间的信任关系是可以传递的&＃xff0c;那我们就可以推论只要A信任B&＃xff0c;B信任C&＃xff0c;那么A必然信任C。但是域信任关系如果是不可传递的&＃xff0c;那就会导致A和C之间没有任何信任关系&＃xff0c;必须手工创建A和C之间的信任关系。显然&＃xff0c;在多域的条件下&＃xff0c;如果域的数量较多&＃xff0c;信任关系的不可传递会给我们带来很多效率上的麻烦。例如我们可以计算一下&＃xff0c;如果有20个域&＃xff0c;每两个域之间都要创建双向信任关系&＃xff0c;那我们就至少要创建20*19/2&＃61;190次信任关系&＃xff0c;这显然也太啰嗦了&＃xff01;
         微软对域信任关系的不可传递也给出了相应的解决方法&＃xff0c;从Win2000开始&＃xff0c;微软推出了域树和域林的概念。凡是在同一域树内的域&＃xff0c;都会自动创建出双向可传递的信任关系。同一个域林内的域&＃xff0c;也会自动创建双向可传递的信任关系。当微软发布Win2003时&＃xff0c;微软又推出了林信任的概念&＃xff0c;也就是说可以在两个林之间创建可传递的信任关系&＃xff0c;把可传递的信任关系从一个林推广到了多个林。
         我们看到这儿时&＃xff0c;要回忆一下实战详解域信任关系这篇文章中的拓扑图。拓扑如下图所示&＃xff0c;我们会忽然意识到itet.com和homeway.com就是分别在一个单独的域林内&＃xff0c;他们之间是域林间的关系&＃xff0c;那我们为什么不能在这两个域之间创建可传递的林信任呢&＃xff1f;回忆一下创建信任关系的过程&＃xff0c;没有发现可以创建可传递的林信任啊&＃xff0c;为什么呢&＃xff1f;

 

         其实问题很简单&＃xff0c;由于可传递的林信任只有Win2003才可以支持&＃xff0c;因此我们必须把林功能级别和域功能级别都提升到Win2003&＃xff0c;这样才可以使用可传递的林信任这个高级特性。我们在Florence上为大家介绍如何提升域功能级别和林功能级别&＃xff0c;在Florence上打开Active Directory域和信任关系&＃xff0c;如下图所示&＃xff0c;右键点击itet.com&＃xff0c;选择“提升域功能级别”。

 

当前的域功能级别是Win2000&＃xff0c;我们选择把域功能级别提升到最高的Win2003。

 

然后右键点击“Active Directory域和信任关系”&＃xff0c;选择“提升林功能级别”。

 

如下图所示&＃xff0c;我们选择把林功能级别从Win2000提升到Win2003&＃xff0c;这样我们在itet.com上就完成了域功能级别和林功能级别的提升&＃xff0c;然后我们在firenze上也对homeway.com进行同样的操作就可以了。

 

域功能级别和林功能级别提升完毕后&＃xff0c;我们在Florence上打开Active Directory域和信任关系&＃xff0c;如下图所示&＃xff0c;点击“新建信任”。

 

输入信任域的名称homeway.com。

 

如下图所示&＃xff0c;我们看到向导提示是创建外部信任还是林信任&＃xff0c;外部信任是不可传递的信任关系&＃xff0c;我们要选择创建林信任。看到这个提示&＃xff0c;说明我们之前提升域功能级别和林功能级别成功了。

 

选择创建双向信任关系。

 

我们选择同时在两个域控制器上进行信任关系的创建&＃xff0c;这样效率更高一些&＃xff0c;当然&＃xff0c;你必须知道另一个域的管理员口令。

 

如下图所示&＃xff0c;我们输入了homeway.com的域管理员口令进行身份验证。

 

我们选择身份验证的范围是“全林性身份验证”。

 

确认从itet.com传出信任关系。

 

然后从itet.com再传入信任关系。

 

如下图所示&＃xff0c;林信任信任关系创建完毕&＃xff0c;创建的过程其实并不复杂。

 

再次打开Active Directory域和信任关系&＃xff0c;我们可以发现两个域林之间已经有了双向可创建的信任关系&＃xff0c;实验成功&＃xff01;

 

 

本文出自 “岳雷的微软网络课堂” 博客&＃xff0c;请务必保留此出处http://yuelei.blog.51cto.com/202879/209233