| 域与域之间具有一定的信任关系,域信任关系使得一个域中的用户可由另一域中的域控制器进行验证,才能使一个域中的用户访问另一个域中的资源。所有域信任关系中只有两种域:信任关系域和被信任关系域。信任关系就是域A信任域B,则域B中的用户可以通过域A中的域控制器进行身份验证后访问域A中的资源,则域A与域B之间的关系就是信任关系。被信任关系就是被一个域信任的关系,在上面的例子中域B就是被域A信任,域B与域A的关系就是被信任关系。信任与被信任关系可以是单向的,也可以是双向的,即域A与域B之间可以单方面的信任关系,也可以是双方面的信任关系。
而在域中传递信任关系不受关系中两个域的约束,是经父域向上传递给域目录树中的下一个域,也就是说如果域A信任域B,则域A也就信任域B下面的子域域B1、域B2……,传递信任关系总是双向的:关系中的两个域互相信任(是指父域与子域之间)。默认情况下,域目录树或目录林(目录林可以看做是同一域中的多个目录树组成)中的所有WiIN2K
信任关系都是传递的。通过大大减少需管理的委托关系数量,这将在很大程度上简化域的管理。
WIN2K中的域传递信任关系一般是系统自动的,但对于相同域目录树或林中的WiIN2K域,也可以显式(手工)地创建传递信任关系。这对于形成交叉链接信任关系是非常重要的。不传递信任关系受关系中两个域的约束,并且不经父域向上传递到域目录树中的下一个域。必须显式地创建不传递信任关系。默认情况下,不传递信任关系是单向的,尽管也可以通过创建两个单向信任关系创建一个双向关系。所有不属于相同域目录树或林中WiIN2K
域间建立的委托关系都是不传递的。所有WiIN2K域和WINNT域之间的委托关系都是不传递的,这一点对于一个企业同时使用WIN2K和WINNT域控制器时应特别注意,当从
WindowsNT升级到WiIN2K时,所有已现有的WindowsNT信任关系都将保持不变。在混合模式的网络中,所有WindowsNT信任关系都是不传递的。WiIN2K
域和WINNT域目录林中的WIN2K域和另一目录林中的WIIN2K域WIN2K域和MITKerberosV5领域单向单向信任关系是单独的委托关系。双向信任关系包括一对单向委托关系,所有传递信任关系都是双向的。为使不传递信任关系成为双向,必须在所涉及的域间创建两个单向信任关系。
|