Trusts בין דומיינים ויערות

Trust — это соглашение между доменами, позволяющее пользователям одного домена получать доступ к ресурсам другого домена без создания дополнительной учётной записи.

Направление: одностороннее или двустороннее.
Transitive — доверие распространяется дальше на другие домены; Non-transitive — нет.
Trust — доверие между двумя разными лесами.
SID Filtering — отфильтровывает чужой SID History и предотвращает повышение привилегий между лесами.

Get-ADTrust -Filter *
netdom trust lab.local /domain:partner.local /quarantine:yes

powershell

Архитектура и теория — под капотом

Trust позволяет пользователям из одного домена получать доступ к ресурсам в другом домене. Типы: One-Way/Two-Way, Transitive/Non-Transitive, /External/Realm.

Внутри — Trust автоматический, прозрачный, transitive.
Между Forests — Trust (transitive только между доменами верхнего уровня).
SID Filtering и Selective Authentication — основные средства защиты.

Практическая настройка (PowerShell / GUI)

# Создание Forest Trust
netdom trust corp.com /Domain:partner.com /add /twoway /Forest

# Включение фильтрации SID (предотвращает внедрение SID History)
netdom trust corp.com /Domain:partner.com /quarantine:yes

# Проверка
Get-ADTrust -Filter *

powershell

Реальные сценарии в организации

Слияние компаний — временный Trust до миграции объектов.
Внешние поставщики — только Selective Authentication + External Trust.

Диагностика и устранение неполадок

netdom trust /verify — проверка работоспособности.
Event 4706/4707 — создание/удаление Trust.

Глоссарий и быстрая командная строка

SID History — функция, позволяющая доступ по старому SID.
Referral — DC перенаправляет клиенту билет для чужого домена.

Trusts между доменами и лесами

Что вы узнаете

Проверь себя