域信任关系

域信任关系

域信任关系的基本概念

一．什么是信任, 为什么要在域之间建立信任关系？
域是安全边界，若无信任关系，域用户帐户只能在本域内使用。
信任关系在两个域之间架起了一座桥梁，使得域用户帐户可以跨域使用。
确切地说就是：信任关系使一个域地DC可以验证其他域的用户，这种身份验证需要 信任路径。例如：A域与B域没有信任关系，A域上的员工使用自己在A域的帐户，将 不能访问B域上的资源。
总之，两个域之间只有建立适当的信任关系后才可以实现互相访问，这就像两个国家之间 要进行友好往来需要建立外交关系一样。

二．信任的方向
信任是有方向的，信任的方向决定了资源访问的方向。
例如，如果a域信任b域，那么b域中的用户就可以访问a域中的资源。在window server 2003 中默认建立的信任关系都是双向的，手工建立的则可以根据访问需要建立单项或双向的信任关系。
所有信任关系中只能有两个域：信任域和受信任域。
有一个信任关系：A域信任B域，其中A域是信任域，B域是受信任域，这个信任关系 指明B域是受A域信任的域，即B域的用户帐户可以访问A域的资源（在拥有相应权限 的前提下）。从这里我们可以看出，信任关系具有方向性，这个信任关系是单向信 任，B域的用户可以访问A域的资源，但A域的用户还不能访问B域的资源。
还有一种信任关系：A域和B域之间的双向信任（A域信任B域，且B域信任A域）， 在这种信任关系下，A域和B域的用户帐户都能访问对方域的资源，因为这两个域都 得到了对方域的信任。

三．信任的传递性
信任根据它的传递性可以分为可传递的和不可传递的。
如果A域和B域之间的信任是可传递的,B域和C域之间的信任也是可传递的，那么A域 和C域之间就自动创建了信任关系。
如果A域和B域之间的信任是不可传递的,或者B域和C域之间的信任是不可传递的，那么A域和C域之间不会自动创建了信任关系。

四、信任的工作方式
目录林中的两棵树之间及每棵树的父域之间都存在双向的信任关系。如果B域中的用户要 访问Y域中的资源，用户所在的客户端计算机会先联系B域的DC进行资源访问验证，因为 要访问的资源不在本域，所以验证的请求会沿着信任的路径传递到资源所在的Y域，并最 终进行资源的访问。

五．信任的类型：
1．默认信任 默认信任是系统自动建立的信任关系，不需要我们通过配置建立信任。默认信任有以 下几种：
（1） 父子信任：在森林中，父子域之间存在的信任关系，称为父子信任，在默认情况下， 当现有域树中添加新的子域时，将自动建立父子信任关系。这种信任是双向的可传递 的信任关系。
（2） 域间（树根）信任关系：在森林中两棵树之间存在的信任关系，称为域间信任关系， 在一个森林中建立第二棵树的时候将自动创建一新的树根信任关系。这个信任是双向 的可传递的。
2．其他信任 以下几种信任关系不是系统自动创建的，需要我们手动创建，把它们归为“其他信任”。
（1） 快捷信任：在同一个森里的两棵树中的两个子树，默认的信任关系是通过信任 关系的传递完成的信任，例如，sales.yb.com信任yb.com,yb.com信任关系的传递完成的信任，例如，sales.yb.com信任yb.com,yb.com信任support.yb.com,则sales.yb.com信任support.yb.com，但是这个信任是的路径很 长，在访问的时候，造成网络流量的增加和访问速度的变慢，访问效率低下。 我们可以建立sales.yb.com和support.yb.com之间的快捷信任，来提高访问效率。
注意：快捷信任是构建在同一个森林的信任关系下的。这种信任是双向或单向的，可 传递的信任关系。
（2） 外部信任：构建在两个不同的森林或者两个不同的域（一个是windows2000 域，一个是windows2003域）之间的信任关系。这种信任是双向或单向的，不 可传递的信任关系。
（3） 森林信任：如果在windows server 2003功能级别，可以在两个森林之间创建一个森林信任关系。这个信任是单向或双向的，可传递的信任关系。 注意：森林信任只能在两个林的根域上建立。
（4） 领域信任：不同系统之间