Windows域信任关系在企业管理中应用探究.docVIP

Windows域信任关系在企业管理中应用探究 　　摘要：信任关系是在Windows的域或林之间建立的关系，它可以使一个域（或林）中的用户由另一个域（或林）中的域控制器来进行验证，实现同一个林中的跨域访问和不同林之间的跨域访问。信任关系分为林中的信任关系和林之间的信任关系两种类型。在企业管理中可以通过创建合适的信任关系，简化企业的日常操作，为企业不同部门之间的资源互访提供便利。 关键词： 信任关系；可传递；AGDLP规则；跨域访问 中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2014）05-1102-04 在大中型企业中，随着业务的扩展，子公司和分公司日益增多，如果公司网络采用Windows系统进行管理，单域模式已经不满足企业的需求，在这种情况下可以根据企业的行政划分实行分级管理，设置多个域来组织企业的网络。但是当多个域之间是独立的时候，一个域中的用户是无法访问另一个域中的资源的，因此为了简化企业管理，解决用户跨域访问资源的问题，可以在域（或林）之间建立信任关系。 1 Windows 域信任关系概述 信任关系是在Windows的域（或林）之间建立的关系，它可以使一个域（或林）中的用户由另一个域（或林）中的域控制器来进行验证，实现同一个林中的跨域访问和不同林之间的跨域访问，从而为企业不同部门之间的资源互访提供便利[1]。 Windows域信任关系分为林中的信任关系和林之间的信任关系两种类型。 1.1 林中的信任关系 林中的信任关系是指在同一个林内部自动创建的信任关系，并且具备可传递、双向的特征，当在一个林中添加域树或子域后，林中所有域之间的信任关系就会自动创建[2]。 1.2 林之间的信任关系 林之间的信任关系可分为外部信任和林信任。外部信任是指在不同林的域之间手动创建的不可传递的信任；林信任是指在任一林中的各个域之间手动创建的单向的或双向的可传递的信任关系[1]。外部信任为不同林中的不同域之间跨域访问资源提供了方法，但如果两个林中分别有多个域，就需要创建多个外部信任，增加了操作的复杂性，简单的方法是只要在林根域之间建立林信任关系，而不需要创建多个外部信任，因为林信任是可传递的。 2 域信任关系在企业管理中的应用 2.1 林中的信任关系在企业管理中的应用 某公司采用Windows域环境进行管理，总公司的域名为，公司有两个分公司，域名分别为和，把它们作为根域的子域，只要确立好是父子关系后，他们之间的信任关系也就确立了，也就能实现总公司和分公司之间资源互访。首先子域会与根域建立起互相信任的双向关系，同时因为根域也信任子域，由于在同一林中域的信任是会自动传递的，所以子域与子域也是相互信任的[3]。如图1所示，箭头表示信任关系。 在林A中添加子域 和后，林中所有域之间的信任关系就会自动创建。操作步骤如下：1）在新服务器上运行“dcpromo”命令，在欢迎向导界面中选择“使用高级模式”安装，单击下一步按钮；2）根据安装向导提示进入“选择某一部署配置”界面。逐层选择“现有林”、“在现有林中新建立域”，单击“下一步”；如图2所示。 图2 选择“在现有林中新建立域” 3）在“网络凭据”界面中输入目标林中已存在域的名称，设置用于执行安装的帐户凭据，单击“下一步”；如图3所示。 图3 设置网络凭据 4）在“命名新域”界面中，输入父域的FQDN及子域的名称，单击“下一步”；如图4所示。 图4 “命名新域”界面 5）按照安装向导提示，完成剩余的安装，然后重启服务器即可。 用同样的方法可以自动创建域和域之间的信任关系。完成安装后，在“Active Directory域和信任关系”管理控制台中可以查看到域和域、域之间是父子信任关系。 2.2 林信任关系在企业管理中的应用 林信任是Windows Server 2003林和Windows Server 2008林特有的信任，创建林信任可为任一林中的各个域之间提供一种单向或双向的可传递信任关系。两个公司分别具有不同的林根域和林根域，域和域是林根域子域，域是林根域子域，要实现两个林中所有域资源互访，只要在林根域和林根域之间建立林信任就可以。如图5所示。 图5 林信任关系 首先分别在两个林根域的DNS中设置辅助区域用于解析对方地址，或者增加第三台DNS服务器对两个林根域进行解析，然后创建可传递的林信任关系。 具体操作步骤如下：1）打开“Active Directory域和信任关系”管理控制台，右击域名“”，在弹出菜单中选择“属性”，在弹出的属性界面中打开“信任”选项卡，单击“新建信任”，打开“新建信任向导”，在“信