3.森林及其信任关系

第三课森林及其信任关系课程内容域树、林基础域树、林的各种信任管理和删除各种信任重、难点分析重点：域树、林的创建域树、林各种信任关系难点：各种信任关系的区别管理和删除信任关系域目录树和目录林具有同时使用连续的和非连续命名惯例的灵活性。什么是目录树？什么是目录林？什么是目录林根域？多层域的特征。任务一域树域林基础什么是目录林根域?目录林根域：在林中第一个建立的域contoso.msft目录林目录林根域nwtraders.msft目录树目录树根域全局目录配置和架构企业EnterpriseAdmins架构SchemaAdminsmarketing.nwtraders.msftsales.contoso.msft目录树信任关系意味着，目录树中的各个域环境之间可以互相共享网络资源，可以实现用户身份的跨域验证，可以使一个域的域控制器能够验证其它域的用户。信任关系的可传递特性表明了对某个域的信任关系会自动传递到其他的信任这个域的域环境中。可以形象地比喻成为：儿子信任爸爸，爸爸信任爷爷，如果都是双向可传递式信任关系，则可以说：儿子信任爷爷，爷爷信任儿子。任务二信任关系跨域访问资源的流程当用户在某台计算机登录时，系统必须验证用户的身份，除了确认账户名和密码无误外，系统还会替用户建立一个“accesstoken（访问令牌）”，这个令牌内包含该用户账户的SID、用户所隶属的所有组的SID等数据。用户取得这个访问令牌后，在他要访问本地计算机内的资源时，出示访问令牌，而系统会根据访问令牌内的SID，来决定用户拥有何种权限来访问资源。当用户要访问网络上其他计算机的资源时，拥有资源的这台计算机也会替用户建立一个访问令牌，当用户要访问资源时，便会出示令牌，而该台计算机会根据令牌内的SID，来决定用户拥有何种权限来访问这个资源。实例说明跨域访问资源的流程George是子域sales.abc.com的用户,而ServerA位于另外一个子域mkt.abc.com内,当George要访问共享文件夹\\ServerA\tools时,George的计算机必须先取得一个用来与ServerA沟通的“服务票据”.George的计算机取得“服务票据”并与ServerA沟通成功后,ServerA会发一个访问令牌给George,以便其访问.过程如下:跨域访问资源的流程1.George利用域内的用户账户登录,当用户在工作站A登录时,由DC1来负责验证用户账户和密码,同时发放一个“TGT(索票凭证)”给George,以便让其利用TGT来获得一个用来与ServerA沟通的服务票据.(注:TGT视为“通行证”,用户必须拥有TGT后,才可以索取服务票据)2.工作站A会向所属域内DC1索取一个用来与服务器ServerA沟通的服务票据.3.域控制器DC1发现ServerA并不在它的域内,就转向“全局编录”,询问ServerA是位于哪一个域内.“全局编录”告知DC1服务器ServerA是位于子域mkt.abc.com的.跨域访问资源的流程4.域控制器DC1得知后,会根据信任路径,通知工作站A向“信任域”abc.com的域控制器查询.5.工作站A向abc.com的域控制器DC2查询mkt.abc.com的域控制器,DC2通知工作站A去找域控制器DC3.6.工作站A向DC3索取一个能够与ServerA沟通的服务票据.取得服务票据后,它会将服务票据传送给ServerA,ServerA读取服务票据内的用户身份后,会根据这些数据建立访问令牌,然后传给用户.注:当用户要访问另外一个域内的资源时,系统会根据信任路径,依序跟每一个域内的域控制器沟通后才能取得访问令牌,并一句访问令牌内的SID数据,来决定用户拥有何种权限.1.信任的种类前两种是在利用“AD安装向导”添加域时,由系统自动建立的,后四种必须自行手动建立.“父-子”和“树-根”信任“父-子”信任:被加入到域后,自动信任其前一层的父域,同时父域也自动地信任这个新域,具备“双向传递性(two-waytransitive)”.“树-根目录”信任:同一个林中,林根域与其他域树根域之间的信任,也是自动建立且具备“双向传递性(two-waytransitive)”.“快捷方式”信任“快捷方式”信任:可以缩短验证用户身份的时间.自行决定建立单向“快捷方式”信任或双向:“林”信任“林”信任:两个林之间可以通过林信任来建立信任关系,以便让不同林内用户能互相访问对方内的资源.可自行决定建立单向或双向.两个林之间的林信任,不会自动延伸到第3个林:林A与林B建立了林信任,同时也在林B与林C之间建立了林信任,但是林A与林C之间并不会自动信任.“外部”信任WindowsServer2003域可以通过外部信任来与WindowsNT4.0域建立信任关系,分别位于两个林内的域之间也可以通过外部信任来建立信任关系.外部信任不具备”传递性”“领域”信任WindowsServer2003域可以与”非Windows系统”之间建立信任关系,称为领域信任,这种跨平台的信任关系让WindowsServer2003域能够与使用其他版本的KerberosV5的系统(例UNIX)相互沟通.可以是单向或双向,也可以在”传递性”与”非传递性”之间切换.信任类型传递性方向简单描述父子可传递双向父域与子域树根可传递双向新的树根与林根外部不可传递单向/双向WinNT与Win2003领域可传递/不可传递单向/双向非Kerberos领域与Win2003域的信任关系林可传递单向/双向WINDOWS2003之间林的信任快捷可传递单向/双向改善Win2003林内的两个域之间的用户登录时间Win2003Server信任关系Windows2003中的传递信任关系父子信任父子信任树根信任域信任关系默认建立可传递双向Domain1域A域B域C树二树一目录林林根域在创建新域的时候，在目录林根域和新域目录树之间将自动创建信任关系。是在目录树上创建新域的时候创建的。信任如何工作树一树二域1目录林域A域BUser树根域林根域被信任域信任域信任域域2域C使用信任协议确定是否有信任关系跟踪信任路径，并选最短2.建立信任操作建立信任前注意事项:建立信任就是在两个不同域之间建立沟通桥梁,从域管理的角度分析,两个基本点域各需要一个拥有适当权限的人,在各自域中做一些设置,以建立两个域之间的信任。信任域一方的系统管理员,需要为此信任关系建立一个”传出信任”;被信任域一方则需要建立一个”传入信任”。建立信任操作建立单向信任:如果是分别单独建立这两个信任,需要在一个域的传出信任与另一个域的传入信任设置相同的信任密码.如果是同时建立这两个信任,在信任过程中不需要输入信任密码,但必须在这两个域都有DomainAdmins或EnterpriseAdmins组的成员权限.建立双向信任:可以分别单独建立信任域和被信任域的传出信任、传入信任,需要在两域设置相同信任密码若同时建立两域的传出信任、传入信任,不需密码,但必须在两个域都拥有DomainAdmins或EnterpriseAdmins组的成员权限.树一树二域1目录林树根域林根域被信任域信任域信任域域2域C快捷信任建立域间直接连接，缩短信任路径单向传递，用建二个来实现双向快捷方式信任域A域B快捷方式信任快捷方式信任快捷方式信任快捷方式信任快捷方式信任建立林信任前提:确定两个林的”林功能级别”都已经升级为”WindowsServer2003”模式注：将一个林的“林功能级别”升级为“WindowsServer2003”之前，必须先将林中所有域的“域功能级别”升级为“Windows2000原始模式”或“WindowsServer2003”实例:为两个域建立一个双向的林信任,即为两个域建立传出信任与传入信任.用林根域的DomainAdmins或EnterpriseAdmins组内的用户登录AD域和信任关系--域属性--信任标签--新建信任建立林信任建立林信任建立林信任建立林信任建立林信任建立林信任建立林信任建立林信任建立林信任建立与WinNT4.0域的外部信任关系单向、非传递信任关系contoso.msft目录林域sales.contoso.msftmarketing.contoso.msft外部信任WinNT4.0域具体操作验证信任AD域和信任关系—域—属性—信任相应域—编辑—验证删除信任（系统自动建立的“父子信任”和“树根信任”不能删除）:AD域和信任关系—域—属性—信任相应域—删除任务四管理与删除信任本课总结域树是具有连续的命名空间，域林是不具有连续的命名空间。Win2003域信任可实现可传递信任、双向信任。Win2003域信任包含“父-子”、“树-根”、外部、领域、林、快捷信任创建外部、领域、林、快捷信任的方法作业书面题：1.简述域树和树林的概念及相互之间的关系。2.在目录林中创建新目录树的时候，目录林根域会产生什么变化？3.为什么要创建快捷方式信任？实验题：1.在已有的结构中加入新子域。2.检查父域和子域之间的信任关系。