什么是森林？

Question

我正在阅读 Microsoft 文章如何解决“无法生成 SSPI 上下文”错误消息

这两句话暗示，如果我知道域是什么，我应该知道森林是什么，但我不知道。我用谷歌搜索了一下，我发现的所有东西要么不相关（“只见树木不见森林”），要么没有解释该术语。

将 SPN 视为服务器资源中某个实例的域或林唯一标识符。

——

3.检查服务器所属的域和您用来连接的域帐户是否在同一个林中。这是 SSPI 工作所必需的。

Answer 1

Active Directory 域是林中的一个组织单位。林只是域的集合，允许将域作为一个单元进行管理。

将 SPN 视为服务器资源中某个实例的域或林唯一标识符。

以上意味着 SPN（服务主体名称）在整个组织中应该是唯一的。这是强制执行的，因为林中的两个域不能具有相同的名称，因此，林中的两个 SPN不能具有相同的名称。

3.检查服务器所属的域和您用来连接的域帐户是否在同一个林中。这是 SSPI 工作所必需的。

仅当您尝试跨不属于同一林的域的 Kerberos 身份验证时，才会出现上述问题；这可能是因为两家公司合并而其 Active Directory 域未移动到一个统一的林中。

有关森林和域的更多详细信息，请参阅technet。