windows server 2012域信任关系

1、父子域   abc.com 与 sales.abc.com

2、两个不同域    abc.com与bcd.com


父子域的信任关系是双向的，信任好以后，双方的资源可以互相访问，子域的管理员只能管理子域，父域管理员能够管理自身和子域.

不同域的信任关系可以是双向的可以是单向的。

实验：abc.com与bcd.com见建立信任关系，使得abc.com的账户能够在bcd.com的计算机登陆，反之不行.


实验环境：

                   ip            

srv1.abc.com       192.168.1.1          

srv2.bcd.com       192.168.2.2

srv3               192.169.1.3     192.168.2.3  路由服务器，.

client1.bcd.com    192.168.2.100

用户 user1@abc.com

同一个网段的虚拟网卡查同一个虚拟交换机上。

1.srv1 搭建abc.com，并成为dc    

2.srv2 搭建bcd.com，并成为dc

3.srv3搭建路由服务器，配置lan

4.srv1 ping srv2 ip 通配置成功

5 在本地dns上解析对方域的域名地址

   srv1.abc.com的dns server上设置条件转发器

   dns管理器--srv1.abc.com--条件转发器，右键（新建条件转发器）

   dns域   名称 bcd.com  ip 192.168.2.2

   验证 ping bcd.com 正常解析192.168.2.2


   srv2.abc.com的dns server上设置条件转发器

   dns管理器--srv2.bcd.com--条件转发器，右键（新建条件转发器）

   dns域   名称 abc.com  ip 192.168.1.1

   验证 ping abc.com 正常解析192.168.1.1



6.bcd.com 信任 abc.com

   

   srv2.bcd.com

   工具--ad 域与信任关系--bcd.com--右键属性--点信任项--点新建信任--开启新建信任向导

   新建信任名称 abc.com --

    信任类型 打勾 外部信任 --

   信任方向 打勾  单向外 （trust）--

   信任方  打勾  只是这个域--

   传出信任身份验证界别  打勾 全域型身份验证--

   信任密码  随便设置，最后与abc.com同样位置的密码一致就可以

   确认传出信任  打勾 确认传出信任

7  abc.com 允许bcd.com信任  

   srv1.abc.com

       工具--ad 域与信任关系--abc.com--右键属性--点信任项--点新建信任--开启新建信任向导

   新建信任名称 bcd.com --

    信任类型 打勾 外部信任 --

   信任方向 打勾  单向内传（trusted  或者 允许 trust）--

   信任方  打勾  只是这个域--

   信任密码  随便设置，最后与bcd.com同样位置的密码一致就可以

   确认传入信任  打勾 否 （打狗 是 也可以 单是需要bcd的管理员账号密码）


8.把客户端client1加入bcd.com

9.在srv1.abc.com建立domain users 组账户user@abc.com

10.用user@abc.com登陆client1.bcd.com 成功登陆