Logons de domínio filho para cruzar domínios de confiança de floresta

Question

Eu tenho uma confiança entre florestas entre dois domínios / florestas do Windows Server 2008 R2 (níveis funcionais de domínio e floresta no Windows Server 2008 R2). Os domínios A e B são os domínios raiz da floresta em suas respectivas florestas e o domínio C é o domínio filho do domínio B.

A < - > B - C < / p >

A confiança é uma confiança de floresta transitiva bidirecional configurada com autenticação em toda a floresta. Quando olho para os objetos TDO em cada domínio, vejo que domainB tem um TDO para domainA e domainC, mas domainC tem apenas um TDO para domainB. domainA também possui um TDO apenas para domainB. Eu vejo a mesma coisa refletida nos domínios e relações de confiança do Active Directory em cada domínio.

Ao selecionar o menu suspenso "Fazer logon em" em um computador domainC, só vejo domínioB e domainC listados. Ao selecionar o menu suspenso "Fazer logon em" em um computador domainB, vejo domainB, domainC e domainA listados. Ao selecionar o menu suspenso "Fazer logon em" em um computador domainA, só vejo domínioA e domínioB listados.

A resolução de nomes DNS entre florestas funciona entre os três domínios por meio de encaminhadores condicionais entre domínioA e domínioB e posso consultar com êxito os registros SRV do AD no domínioA do domínioC e vice-versa.

Eu não estou entendendo a transitividade do domínio em uma confiança entre florestas? A transitividade não deveria se estender de domainC para domainA e vice-versa?

Editar

Com base na resposta de Ryan:

Eu comecei a pensar a mesma coisa, mas eu não tenho experiência em primeira mão com um Forest Trust, onde existe um domínio filho, então eu não sei ao certo o que eu deveria estar vendo. Mesmo que transite deve existir entre os domínios A e C que não implica necessariamente "visibilidade". Eu corri nltest /dclist , nltest /dsgetdc e nltest /dnsgetdc e todos retornaram com sucesso dos domínios A para C e vice-versa. O que mais me intrigou é que ao tentar adicionar um usuário a um grupo local de domínio no domínio A eu só posso ver o domínio B em locais e não o domínio C. Esse pode ser o comportamento esperado, mas parece estranho. por exemplo, se eu quisesse adicionar um usuário de domínio C ao domínio de usuários de área de trabalho remota, o grupo Local no domínio AI não pode chegar lá porque não vejo o domínio C em locais no domínio A. Não há como "aninhar" um usuário do domínio C em um grupo do domínio B e, em seguida, adicione o grupo do domínio B ao domínio Um grupo (por causa do escopo do grupo). Portanto, se eu quiser conceder acesso a usuários do domínio C para fazer logon em servidores RDS no domínio A, como eu alcançaria isso?

    

Answer 1

Acredito que o que você está vendo na caixa suspensa "Fazer logon" em um membro do Domínio C seja um comportamento normal. Essa caixa suspensa mostrará apenas os domínios adjacentes (transitivo não conta), mas isso não deve impedir que você consiga efetuar login em um membro do DomainC com um nome de usuário de DomainA \ joeqwerty ou joeqwerty @ DomainA. Se for muito importante que você veja o DomainA na caixa suspensa quando estiver em um computador no DomainC, poderá conseguir isso com uma relação de confiança de atalho.

Este documento tem algumas boas dicas de sabedoria:

link

Como,

Trust Search Limits

When a client searches out a trust path, the search is limited to trusts that are established directly with a domain and those that are transitive within a forest. A child domain, for example, cannot use an external trust between its parent domain and a domain in another forest. This is because a complete trust path must be constructed before a client can begin to work its way along the path to a requested resource domain. Windows Server 2003 does not support blind referrals; if a client cannot identify a trust path, it will not attempt to seek access to a requested resource in another domain. Child domains cannot identify external trusts or realm trusts to security authorities outside of their forest because the TDOs that represent those trusts are published only within the domain that shares the trust, not to Global Catalogs. Clients are therefore unaware of trusts that their domains share with security authorities other than their parent or child domains, and are thus unable to use them to access resources.

Editar

Com base na sua edição:

for instance, if I wanted to add a domain C user to the Remote Desktop Users Domain Local group in domain A I can't get there because I don't see domain C in locations in domain A.

Isso pode ser pedante, mas eu pessoalmente não adicionaria um usuário ao grupo Local de domínio de usuários de área de trabalho remota. Eu só aninharia grupos de segurança lá, não usuários / contas individuais. Os artigos do TechNet vinculados a seguir também recomendam o uso e o aninhamento de grupos de segurança de controle de acesso baseados em função como práticas recomendadas, em vez de atribuir permissões para indivíduos a recursos.

De qualquer forma, no link do TechNet abaixo:

• Groups with domain local scope can have the following members: accounts, groups with universal scope, and groups with global scope, all from any domain. This group can also have as members other groups with domain local scope from within the same domain.

E

To group the users from one forest who require similar access to the same resources in a different forest, create universal groups that correspond to the global group roles. For example, in ForestA, create a universal group called SalesAccountsOrders and add the global groups SalesOrder and AccountsOrder to the group.

Duas outras coisas em mente que podem ajudá-lo a atingir essa meta são os Grupos Restritos de Diretiva de Grupo para adicionar o grupo desejado aos Usuários da Área de Trabalho Remota e o direito de usuário "Permitir logon pelos Serviços de Terminal".

Talvez você não consiga visualizar graficamente as contas na outra floresta por meio de uma relação de confiança transitiva, mas basta digitar o nome completo da conta, por exemplo, [email protected] ou DomainA\GroupInDomainA , etc.

Mais recursos:

link

link