2008AD-第八章+管理域与林信任.pptVIP

身份验证过程 验证用户名和密码 计算机通过系统给用户的一个访问令牌access token（包含用户SID、用户所属组的SID以及用户的权限）判定用户访问相关资源的权限 补充：Kerberos协议 信任类型 默认信任 信任类型 其他信任 Lab：如何创建信任 信任关系如何在目录林工作 信任如何穿越目录林 第八章管理域和林信任 本章重点 身份验证过程概述 信任概述 信任的种类如何创建信任 管理信任 删除信任 信任关系如何在林中工作 跨域访问资源的过程 问题 我们登陆系统的过程？ 系统如何知道我们登录系统之后的权限？ 我们如何跨越域甚至跨越树区进行资源的访问？ 信任 域与域之间的概念 双方建立信任后，双方用户可以访问对方域内的资源，使用对方域的计算机登录 根据属性分为信任域和受信任域 根据方向分为单向信任和双向信任 默认情况下，当现有林中创建新的域树时，将建立一个新的树根信任 双向 可传递 树根 默认情况下，当现有域树中添加新的子域时，将建立一个新的父子信任．来自从属域的身份验证请求将通过其父项向上传递到信任域中 双向 可传递 父子 描述 方向 传递性 信任类型 单向或双向 可传递或不可传递 领域 单向或双向 不可传递 外部 单向或双向 可传递 林 单向或双向 可传递 快捷 方向 传递性 信任类型 信任类型 Forest (root) Tree/Root Trust Forest Trust Shortcut Trust External Trust Kerberos Realm Realm Trust Domain D Forest 1 Domain B Domain A Domain E Domain F Forest (root) Domain P Domain Q Parent/ChildTrust Forest 2 Domain C Your instructor will demonstrate how to verify and revoke a trust by using Active Directory Domains and Trusts 管理信任 验证信任关系 更改“名称后缀路由”设置 更改身份验证方法 信任的删除 注意：父子信任和树根信任无法删除 Tree One Tree Two Domain 1 Tree Root Domain Forest Root Domain Domain 2 Domain C Domain A Domain B nwtraders.msft contoso.msft Forest trust Global catalog Global catalog Seattle vancouver.nwtraders.msft seattle.contoso.msft Vancouver 2 4 6 1 3 5 7 8 9 Forest 1 Forest 2