3-森林及其信任关系.pptVIP

课程内容 重、难点分析 重点： 域树、林的创建 域树、林各种信任关系 难点： 各种信任关系的区别 管理和删除信任关系 任务一 域树域林基础 域目录树和目录林具有同时使用连续的和非连续命名惯例的灵活性。 什么是目录树？ 什么是目录林？ 什么是目录林根域？ 多层域的特征。 信任关系意味着，目录树中的各个域环境之间可以互相共享网络资源，可以实现用户身份的跨域验证，可以使一个域的域控制器能够验证其它域的用户。 信任关系的可传递特性表明了对某个域的信任关系会自动传递到其他的信任这个域的域环境中。可以形象地比喻成为：儿子信任爸爸，爸爸信任爷爷，如果都是双向可传递式信任关系，则可以说：儿子信任爷爷，爷爷信任儿子。 跨域访问资源的流程 当用户在某台计算机登录时，系统必须验证用户的身份，除了确认账户名和密码无误外，系统还会替用户建立一个“access token（访问令牌）”，这个令牌内包含该用户账户的SID、用户所隶属的所有组的SID等数据。 用户取得这个访问令牌后，在他要访问本地计算机内的资源时，出示访问令牌，而系统会根据访问令牌内的SID，来决定用户拥有何种权限来访问资源。 当用户要访问网络上其他计算机的资源时，拥有资源的这台计算机也会替用户建立一个访问令牌，当用户要访问资源时，便会出示令牌，而该台计算机会根据令牌内的SID，来决定用户拥有何种权限来访问这个资源。 实例说明 跨域访问资源的流程 George是子域的用户,而ServerA位于另外一个子域内,当George要访问共享文件夹\\ServerA\tools时,George的计算机必须先取得一个用来与ServerA沟通的“服务票据”. George的计算机取得“服务票据”并与ServerA沟通成功后,ServerA会发一个访问令牌给George,以便其访问.过程如下: 跨域访问资源的流程 George利用域内的用户账户登录,当用户在工作站A登录时,由DC1来负责验证用户账户和密码,同时发放一个 “TGT(索票凭证)”给George,以便让其利用TGT来获得一个用来与ServerA沟通的服务票据. (注:TGT视为“通行证”,用户必须拥有TGT后,才可以索取服务票据) 工作站A会向所属域内DC1索取一个用来与服务器ServerA沟通的服务票据. 域控制器DC1发现ServerA并不在它的域内,就转向“全局编录”,询问ServerA是位于哪一个域内.“全局编录”告知DC1服务器ServerA是位于子域的. 跨域访问资源的流程 域控制器DC1得知后,会根据信任路径,通知工作站A向“信任域”的域控制器查询. 工作站A向的域控制器DC2查询的域控制器,DC2通知工作站A去找域控制器DC3. 工作站A向DC3索取一个能够与ServerA沟通的服务票据.取得服务票据后,它会将服务票据传送给ServerA, ServerA读取服务票据内的用户身份后,会根据这些数据建立访问令牌,然后传给用户. 注:当用户要访问另外一个域内的资源时,系统会根据信任路径,依序跟每一个域内的域控制器沟通后才能取得访问令牌,并一句访问令牌内的SID数据,来决定用户拥有何种权限. 1.信任的种类 前两种是在利用“AD安装向导”添加域时,由系统自动建立的,后四种必须自行手动建立. “父-子”和“树-根”信任 “父-子”信任:被加入到域后,自动信任其前一层的父域,同时父域也自动地信任这个新域,具备“双向传递性(two-way transitive)”. “树-根目录”信任:同一个林中,林根域与其他域树根域之间的信任,也是自动建立且具备“双向传递性(two-way transitive)”. “快捷方式”信任 “快捷方式”信任:可以缩短验证用户身份的时间. 自行决定建立单向“快捷方式”信任或双向: “林”信任 “林”信任:两个林之间可以通过林信任来建立信任关系,以便让不同林内用户能互相访问对方内的资源.可自行决定建立单向或双向. 两个林之间的林信任,不会自动延伸到第3个林:林A与林B建立了林信任,同时也在林B与林C之间建立了林信任,但是林A与林C之间并不会自动信任. “外部”信任 Windows Server 2003域可以通过外部信任来与Windows NT 4.0域建立信任关系,分别位于两个林内的域之间也可以通过外部信任来建立信任关系. 外部信任不具备”传递性” “领域”信任 Windows Server 2003域可以与”非Windows系统”之间建立信任关系,称为领域信任,这种跨平台的信任关系让Windows Server 2003域能够与使用其他版本的Kerberos V5的系统(例UNIX)相互沟通. 可以是单向或双向,也可以在”传递性”与”非传递性”之间切换. 2.建立信