Windows域信任关系建立全攻略
信任关系
•
实验中发现，建立林信任关系后，再 在林中添加域。要想使新的域也获得传递 的林信任关系，需要重新建立林信任关系
•
2、在B林的具体资源（想允许A林用 户访问的部分资源）上，设置相应的访问 权限。 • 至此A林用户仍不能访问B林上的允许 其访问的那部分资源（虽然已设置了相应 权限），否则“选择性身份验证”与“全 林身份验证”就没有什么不同了。此时访 问的出错提示为：
基于计算机帐号设置“允许身份验 证”权利
• （1）开始/程序/管理工具/AD用户和计算机 • （2）选中“查看”标签下的“高级功能” • （3）在相应的OU或域上右键/属性，在 “安全”标签下，添加/位置，选择A林 • （4）输入用户/组名（或点高级/立即查找 后选择），确定。要求输入网络密码，输 入对A林AD有读权的一个普通帐号即可， 不必非得A的林管理员。
•
实现要求（1），利用我们前面的步骤 4：创建林信任关系（全林身份验证）即可； 要想实现要求2，就得用到林信任关系的选 择性身份验证了。具体如下：
•
在信任关系/属性/“身份验证”标签下 的身份验证级别是可修改的。利用这一点， 我们可简化此案例的解决步骤：先创建双 向、全林身份验证的林信任关系，再在 上（上框、下框操作均可以，实际是 同一内容），将对A的信任关系上由“全林 身份验证”改为“选择性身份验证”。
创建两个域之间的信任关系
做的时候一定要慢啊，要不然是不会做成功的，因为全局数据库没有创建完整。还有DNS也很重要哦。
创建两个域之间的信任关系：
1。先在DNS里面新建一个标准的辅助区域，里面的域名是填对方的域名，然后填写对方的IP（配置完成后）。配制完成后会出现一个错误，是因为数据没有同步。你再在创建的域上--右键--从主服务器传送（多刷新几次再等等就好了）。
2。在 directory域和信任关系里面的域--属性--信任,现在才开始配置信任关系顺序一定要是1上（A）2下（A）3上（B）4下（B）（你填写的密码是什么，那么一会儿对方也要填写你设置的密码）（A和B分别表示密码）
3。你设置NTFS许可的时候就在安全那里选择其他的域（！！！注意，一定要慢慢做，因为全局目录正在建立数据库，不然你就没有办法设置NTFS权限）一般在开机的时候等15分钟，开了机再等15分钟。。注意啊！！！！
4。2000里面的全局目录很容易坏，但是2000又不知道用活动目录去验证，所以要备份。2003里面做了修改。
域的设置方法
域的设置方法
依次操作，右键点击我的电脑-属性-计算机名，如下图：
点击更改，在弹出的窗口中选择域，在输入框中输入lan，确定。
点击确定后会弹出如下图的窗口，输入个人用户名和密码确定。
此步可能会需要耐心等待一会儿。
成功后会有如下提示：
确定，再确定，会弹出如下对话框：
点击“是”重启计算机。
由于加入了域，计算机的登录方式会改变，首先会出现如下窗口：
同时按下Ctrl+Alt+Delete 三个键，出现如下登录窗口：
点击“选项”后，在“登录到”选择LAN，输入个人用户名和密码，确定。
第一次用域的方式登录会出现如下窗口：
登录成功，初始化完毕，出现桌面：
此时，用户名显示的是Ray Rao。
访问文件服务器在资源管理器或浏览器里输入\\192.168.1.5，访问过程中不需
要再输入用户名和密码。
注意，此时登录后，并不是管理员权限。
需要在本计算机将此账户提升为管理员级别。
首先注销当前登录的用户，在登录时输入管理员的账户和密码，并在“登录到”选择“本机”，确定。
登录后，依次点击开始，控制面板，用户帐户：
点击添加，输入个人用户名及域 下一步
选择其它，并在列表中选择Administrators
完成，确定。
注销，此时再次用域帐户登录，记得要在“登录到”选择LAN。
如果有其它技术问题，请联系IT部技术人员。
windows_域
windows域域的含义域英文叫DOMAIN——域(Domain)是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系(即Trust Relation)。
信任关系是连接在域与域之间的桥梁。
当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
域既是Windows 网络操作系统的逻辑组织单元，也是Internet的逻辑组织单元，在Windows 网络操作系统中，域是安全边界。
域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域，每个域都有自己的安全策略，以及它与其他域的安全信任关系。
域的原理其实可以把域和工作组联系起来理解，在工作组上你一切的设置在本机上进行包括各种策略，用户登陆也是登陆在本机的，密码是放在本机的数据库来验证的。
而如果你的计算机加入域的话，各种策略是域控制器统一设定，用户名和密码也是放到域控制器去验证，也就是说你的账号密码可以在同一域的任何一台计算机登陆.如果说工作组是“免费的旅店”那么域（Domain）就是“星级的宾馆”；工作组可以随便出出进进，而域则需要严格控制。
“域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。
一提到组合，势必需要严格的控制。
所以实行严格的管理对网络安全是非常必要的。
在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。
尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。
在由Windows 9x构成的对等网中，数据的传输是非常不安全的。
不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。
域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。
windows server 2008外部域信任关系
外部信任关系实验中域控的操作系统均为windows server 2008 R2 Enterprise。
域和林的级别均为windows 2003，或者以上。
两个林，一个林根域为，一个林根域为int.internal。
域的DNS服务器FQDN为：，IP为：192.168.1.10，DNS指向自己127.0.0.1。
int.internal域的DNS服务器FQDN为：WINDC.int.internal。
IP 为：192.168.1.100，DNS指向自己127.0.0.1或者192.168.1.100建立域信任int.internal域，即中的资源可以共享给int.interanl域成员查看，即在域的文件夹属性——安全选项中可以添加int.intnal域的成员，而Int.internal域文件夹属性——安全选项中不可以添加域成员在这里是信任域Int.internal是被信任域建立域的信任关系，首先要使对方的DNS能解析本地的DNS，方法有很多，如在对方的DNS上建立本地域的辅助DNS，也可以使用条件转发器。
在这里我们使用条件转发器。
在真实生产环境中两个林或域之间不能通信，分属不同的公司，对于两个林或域之间的通信，可请网络管理员设置路由信息。
一、建立DNS条件转发器在这里DNS区域和AD目录集成在一起。
打开域的一台域控，在管理工具中打开DNS管理器，在左侧找到“条件转发器”，右击新建条件转发器，在弹出的对话框中输入要转发解析的对方DNS域名，这里输入被信任域“int.internal”和对方的DNS服务器的IP:192.168.1.100，点击确定，条件转发器建立成功。
真实环境中解析对方时间要长一些。
如下图：在int.internal域的DNS服务器上设置也如此步骤，在条件转发器上输入域和DNS的IP:192.168.1.10，这里不再贴图。
二、建立信任在域的一台域控上打开“Active Directory域和信任关系”，右击“”选择“属性”——“信任”选项卡，点击左下方的“新建信任”弹出“新建信任向导”对话框，如下图：上图点击下一步，在出现对话框中输入要信任的域即被信任域int.internal，点击下一步，选择“外部信任”，外部信任是林内的域需要与不属于该林的其他域之间创建信任关系，不同于快捷信任关系，快捷信任关系是指林内的任何域信任其他林内的任何域的林信任关系。
windows高级应用AD_03_信任关系
User User User Accounts Accounts Accounts
Global Global Domain Local Global Domain Local Local Groups Groups Groups Groups Groups
Permissions Permissions Permissions
A
A
User Accounts
G
G
Global Groups
U
U DL
DL
P
Permissions
Local Groups
Group strategies:
DL G AGP A DL P DL A GLDL P A G U DL P A GP P L P P
A A
A P
A
G
G G L
18
委派管理
19
11
域组的作用域
从组的作用域来看，Windows Server 2003域内 从组的作用域来看， 2003域内 的组分为以下3 的组分为以下3种：
通用组(universal group) 全局组(global group) 域本地组(domain local group)
12
通用组：可以指派所有域 中的访问权限，其成员能够包含整个域目 录林这任何一个域内的用户、通用组、全局组。但不能包含任何一个 域内的本地域组。可以访问任何一个域中的资源。在所有域（域功能 级别必须是2000纯模式或是server2003）可以设置使用权限。可以 被换成域本地组或是全局组（只要该组内成员不包含通用组） 全局组：主要用来组织用户。其成员能够包含与该组相同域中的用户 和全局组。可以访问任何一个域中的资源。可以在所有域里设置使用 权限。可以被换成通用组（只要些组不属于任何一个全局组） 域本地组：主要用来指派在其所属域内的访问权限。能够包含任何一 个域内的用户、通用组、全局组；还能够包含同一个域内的本地域组； 但是，它无法包含其他域内的本地域组。只能够访问同一个域内的资 源，无法访问其他不同域内的资源。只能在所属内设置使用权限。可 以被换成通用组（只要此组内成员不含域本地组）
windows域
windows域域的含义域英文叫DOMAIN——域(Domain)是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系(即Trust Relation)。
信任关系是连接在域与域之间的桥梁。
当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
域既是Windows 网络操作系统的逻辑组织单元，也是Internet的逻辑组织单元，在Windows 网络操作系统中，域是安全边界。
域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域;每个域都有自己的安全策略，以及它与其他域的安全信任关系。
域的原理其实上可以把域和工作组联系起来理解,在工作组上你一切的设置在本机上进行包括各种策略，用户登陆也是登陆在本机的，密码是放在本机的数据库来验证的。
而如果你的计算机加入域的话，各种策略是域控制器统一设定，用户名和密码也是放到域控制器去验证，也就是说你的账号密码可以在同一域的任何一台计算机登陆. 如果说工作组是“免费的旅店”那么域（Domain）就是“星级的宾馆”；工作组可以随便出出进进，而域则需要严格控制。
“域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。
一提到组合，势必需要严格的控制。
所以实行严格的管理对网络安全是非常必要的。
在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。
尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。
在由Windows 9x构成的对等网中，数据的传输是非常不安全的。
不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。
域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。
教你如何验证两个域之间信任
简介
信任是两个域之间沟通的桥梁，只要两个域之间相互信任，双方的用户即可访问对方域内的资源或者用对方域的计算机登录。
当建立了信任关系之后，如何来验证信任呢?
方法/步骤
操作步骤如下：
执行【开始】丨【程序】丨【管理工具】丨【Active Directory域和倍任关系】命令，打开【Active Directory域和信任关系】窗口，如图1所示。
图1 【Active Directory域和信任关系】窗口
在控制台树中，右击要验证的信任关系所涉及到的域，执行【属性】命令，弹出【属性】对话框，如图2所示。
图2 【属性】对话框
在【属性】对话框中选择【信任】选项卡，在【受此域信任的域】或【值任此域的域】列表框中选择要验证的信任关系，然后单击【属性】按钮，在弹出的对话框中单击【验证】按钮，如图3所示。
图3 验证信任
本文源自大优网。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Windows域信任关系建立全攻略
操作环境：windows 2000的两个独立域 与。
的网段为192.168.0.x， 域管理所在的IP为192.168.0.1，机器名为aa。
的网段为192.168.3.x，域管理所在的IP为192.168.3.1，机器名为bb。
两个域用VPN建立好连接，可互相ping通。
操作目的：建立互相信任的关系。
操作过程：
1、建立DNS。
DNS必须使用的，而不能使用公网的，因为要对域进行解析。
由于在和 上的步骤相同，故只以为例。
在192.168.0.1上打开管理工具- DNS- 连接到计算机- 这台计算机。
在其正向搜索区域里新建区域- Active Directory集成的区域，输入，区域
文件就叫.dns好了，然后完成。
右击新建的，选择属性- 常规，把允许动态更新改变为是。
然后在正向搜索区域里新建区域- 标准辅助区域，输入，IP地址输入192.168.3.1，然后完成。
右击新建的，选择从主传输。
在反向搜索区域里新建区域- Directory集成的区
域，输入网络ID192.168.0，然后完成。
右击新建的192.168.0.x Subnet，选择属性- 常规，把允许动态更新改变为是。
现在的DNS已经建立好了，的也按此建立。
在192.168.0.1上进行测试，注意：DNS的传输可能需要一定的时间，最好在半个小时到一个小时后进行测试。
测试域名解析：ping
正常的为
Pinging [192.168.0.1] with 32 bytes of data: Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Ping statistics for 192.168.0.1:
Packets: Sent = 4, Received = 4, Lost = 0 ,
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms 这说明域已经解析好，如果ping 也能得到类似的响应，说明的解析也完成。
测试反向搜索：nslookup 192.168.0.1
正常的为
Server:
Address: 192.168.0.1
Name:
Address: 192.168.0.1
如果在的域上也测试成功，则可以建立域信任关系了。
2、建立域信任关系
在aa机器上管理工具- Active Directory 域和信任关系里可以看到自己的域，在它上面属性-
信任里，受此域信任的域和信任此域的域里添加。
现在就大功告成了。
注意：如果里有两块网卡，其中有一块不用的，最好将此网卡禁用了。
如果有做它用，请用route -p来明确路由方向。
操作環境：windows 2000的兩個獨立域 與。
的網段為192.168.0.x， 域管理所在的IP為192.168.0.1，機器名為aa。
的網段為192.168.3.x，域管理所在的IP為192.168.3.1，機器名為bb。
兩個域用VPN建立好連接，可互相ping通。
操作目的：建立互相信任的關系。
操作過程：
1、建立DNS。
DNS必須使用的，而不能使用公網
的，因為要對域進行解析。
由於在和 上的步驟相同，故隻以為例。
在192.168.0.1上打開管理工具- DNS- 連接到計算機- 這臺計算機。
在其正向搜索區域裡新建區域- Active Directory集成的區域，輸入，區域文件就叫.dns好瞭，然後完成。
右擊新建的，選擇屬性- 常規，把允許動態更新改變為是。
然後在正向搜索區域裡新建區域- 標準輔助區域，輸入，IP地址輸入192.168.3.1，然後
完成。
右擊新建的，選擇從主傳輸。
在反向搜索區域裡新建區域- Directory集成的區域，輸入網絡ID192.168.0，然後完成。
右擊新建的192.168.0.x Subnet，選擇屬性- 常規，把允許動態更新改變為是。
現在的DNS已經建立好瞭，的也按此建立。
在192.168.0.1上進行測試，註意：DNS的傳輸可能需要一定的時間，最好在半個小時到一個小時
後進行測試。
測試域名解析：ping
正常的為
Pinging [192.168.0.1] with 32 bytes of data: Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Reply from 192.168.0.1: bytes=32 time 1ms TTL=64 Ping statistics for 192.168.0.1:
Packets: Sent = 4, Received = 4, Lost = 0 ,
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 0ms, Average = 0ms 這說明域已經解析好，如果ping 也能得到類似的響應，說明的解析也完成。
測試反向搜索：nslookup 192.168.0.1
正常的為
Server:
Address: 192.168.0.1
Name:
Address: 192.168.0.1
如果在的域上也測試成功，則可以建立域信任關系瞭。
2、建立域信任關系
在aa機器上管理工具- Active Directory 域和信任關系裡可以看到自己的域，在它上面屬性- 信任裡，受此域信任的域和信任此域的域裡添加。
現在就大功告成瞭。
註意：如果裡有兩塊網卡，其中有一塊不用的，最好將此網卡禁用瞭。
如果有做它用，請用route -p來明確路由方向。