子域和父域之间的 AD 单向信任

Question

使用现有的 AD 域 (company.net)，我们需要添加一个具有单向信任的子域 (untrusted.company.net)。在我的实验室中进行的测试以及我所做的谷歌搜索似乎表明这是不可能实现的，因为在创建子域时建立了默认的不可更改的双向信任。

有谁知道实现这一目标的方法？

我知道我可以创建一个单独的森林，但这已被我的老板否决了。我公司的管理层（嘘……嘘……）要求这是一个实际的子域。

详细信息：现有域和林是 2008 r2 SP1 机器上的 2008 功能级别。子域将在 2008 R2 SP1 上，并将从 2008 功能级别开始。

Answer 1

当域不在不同的林中时，根据定义，跨林信任关系是不可能的。

不幸的是，您需要与拨打该电话的经理好好谈谈，并解释这两个要求是冲突的。

Answer 2

子域具有内置的双向传递信任。您无法修改此行为。如果需要安全边界，则需要单独的林。

单独的域创建管理边界。单独的森林创建安全边界。