两极人生,八度空间

Fight for my CISSP and PMP

首页 新随笔 联系 聚合 管理
  156 Posts :: 22 Stories :: 67 Comments :: 0 Trackbacks
前几天做实验,讲到windows 2003域信任这个问题时。发现大家对域的单向信任和双向信任如何建立,比较模糊。尤其是对one-way trust中的income和outgoing不甚明白。所以在这里做个澄清。下面分别以域的单向信任和双向信任的加以说明。
在管理工具里,选active directory 域的信任和关系,进入管理console,在相应的域gcv.cn上右击选属性,如图所示:

选择“新建信任”

信任名称,可以选netbios名nst或者dns名称nst.cn来建立。这个信任名称,是指定域的名称。就我要信任的域的名称。在做这一步时,一定要dns的转发器中,将域nst.cn的dns添加上去。不然是无法与nst.cn建立信任关系的。准备工作完成后,进入下一步。


在选择建立域的单向信任时,在这里,需要注意的是:你要选择“单向内传(incoming)”还是“单向外穿(outgoing)”,这取决于你打算让这个域(gcv.cn)的用户在指定域(nst.cn)中得到身份验证还是相反。我这里做的是gcv.cn信任nst.cn。我希望gcv.cn里的用户在nst.cn中得到身份验证。所以选择单向:内传。
在创建单向信任时,有两种选择,如果在本地域中创建,那么需要在gcv.cn和nst.cn中都要建立单向信任。另外一个选择是,如果你有nst.cn域的管理员权限,那么你选择在两个域(gcv.cn和指定的域nst.cn)中创建单向信任。那么仅仅需要在gcv.cn中创建一次信任关系即可。

如果已经取得nst.cn的管理权限。进行下一步:

接下来,点下一步,并确认信任关系。那么这个单向信任关系,就算创建完成。
注意:如果你选择在本地域中创建信任关系,就就是选择了第一项。那么你需要在本地域和指定域中分别创建信任关系。并使用一个信任密码。在incoming端设定。

接下来,我们看双向信任关系怎么创建?
同样是进入管理工具,选择active directory 域和信任关系,在域gcv.cn上右键选择属性,输入信任名称nst.cn。我们选择信任方向为双向,如图所示:

就用户可在在两个域中进行交叉验证。点击下一步:


这里同样有两个选项。如果你没有指定域的权限,那么就选第一项,通过信任密码来建立信任。否则,可以选第二项,通过指定域的权限来在两个域中同时创建信任关系。这里我们看第一项。以为第二项的示例在单向信任中,已经介绍过。

对指定域的用户进行身份验证方法。根据你的ou情况而定。这里我们选择“选择性身份验证”。
然后进入下一步并设定信任密码:

如果指定域(nst.cn)已经建立了传出信任。那么在输入信任密码后。可以确认信任传入。否则,选择不确认信任传入。


至此,双向信任创建完成。那么gcv.cn和nst.cn的用户可以在彼此中进行身份验证和访问需要的资源。
至于要创建单向还是双向,都是依照你的需求和安全控制策略而定。
posted on 2009-01-12 11:22 Jerome 阅读(1628) 评论(1)  编辑 收藏 引用 所属分类: Server management

Feedback

# re: windows 2003域信任相关的几点 2009-09-08 09:09 tony
此文章多数要点一带而过,根本没有意义所在  回复  更多评论
  

只有注册用户登录后才能发表评论。