域信任 2008 至 2003

Question

我在设置 Windows Server 2003 和 Windows Server 2008 AD 之间的信任关系时遇到问题。

域 a 是 Windows Server 2003 林功能级别。

域 b 是 Windows Server 2008 林功能级别。

我可以在域“a”上设置信任关系的传入端，以便它信任域“b”。

尽可能在域“b”上尝试我无法将信任关系的传出端设置为域“a”。

GUI 界面给出了无用的“不支持请求”。

我不确定 netdom 是否或多或少有帮助，因为它向我介绍了 FilterSID

netdom trust /add b /uo:b\admin /po:* /d:a /ud:a\admin /pd:* /oneside:trusting
为了提高这种外部信任的安全性，安全标识符 (SID)
过滤已启用，但是，如果用户已迁移到受信任的
域及其 SID 历史记录已被保留，您可以选择关闭此功能
特征。

有关 SID 过滤以及如何将其关闭的更多信息，请参阅帮助
对于 netdom trust /FilterSids 或查看帮助和支持。

不支持该请求。

命令未能成功完成。

我说“不太有用”是因为 Windows Server 2008 不支持 /FilterSIDs 选项。

我们如何才能强制创建这种信任？

编辑： 只是为了澄清我已经检查过 [计算机配置\Windows 设置\安全设置\本地策略\安全选项]“网络访问：允许匿名 SID/名称转换”在信任的双方都启用了http: //social.technet.microsoft.com/Forums/en/winserverDS/thread/cc61fc25-3569-4413-bbfd-92390eb31118

Answer 1

我可以在域“a”上设置信任关系的传入端，以便它信任域“b”。

这很奇怪。因为如果信任是在域 a 上传入的，则意味着 a 是受信任的域。即：b 信任 a。

首先尝试设置信任的传出部分。

您的命令尝试仅在域 b 上创建信任的传出（信任）部分。我认为在这种情况下你需要设置一个信任密码。请参阅： http ://technet.microsoft.com/de-de/library/cc835085(WS.10).aspx

TRUSTING：指定在信任域上创建或删除信任对象。仅当指定 /add 或 /remove 参数时，此值才有效。使用 /add 或 /remove 参数时，需要 /passwordt 参数。

为什么使用/oneside？为什么不让 netdom 立即建立双方的信任呢？

并确保两个域中没有同名的 DC，否则信任验证将失败。