AD跨林信任登录工作站

Question

我们的业务部门已被外部实体收购。

我们运行的是 2008 R2 AD，他们运行的是 2012 AD，域未加入或受信任。

他们在其总部数据中心（域 A）拥有包括域控制器在内的服务器。

我们这里有一个域控制器（域 B）。我们现在被视为来自总部（域 A）的海外。

两个站点都通过 VPN 链接，所有服务器都可以相互联系，事实上他们建立了一个 DC 来运行在我们网络中的办公室（但目前不与域 B 的 DC 通信，它同步到它的主域 A通过 VPN 的 DC）。

问题 - 我们需要做什么（在工作站和服务器上）来：

1. 允许域 A 总部的用户使用其普通域 A 凭据登录其新海外办事处（加入域 B 的工作站）的工作站

2. 仍然允许现有的域 B 用户像往常一样登录和使用他们的工作站（现有域 B 活动目录帐户可以像以前一样使用域 B 工作站）？

如果使用信任，这需要是单向的还是双向的？这只是添加信任的一种情况，仅此而已，还是需要在工作站或组策略上配置任何内容？

Answer 1

乔得到了正确的答案（并且应该将其作为答案发布。）

您至少需要一种单向信任，域 B 信任域 A。这样，域 A 用户就可以登录域 B 工作站（要求 1）。

信任不会以任何方式影响域 B 用户继续登录域 B 工作站的方式，因此您不必为要求 2 执行任何操作。

您应该仔细阅读此内容，并开始与收购您的业务部门的公司的 IT 部门进行交流，以确定近期和长期的业务需求。为了防止一些潜在的混淆，这里有一些重要的相关信息。

1. 您无法将您的域添加到他们的林中。
2. 域 B 用户登录域 A 工作站需要双向信任，这不是明确的要求，但可能是下一个问题。
3. 您可以使用 ADMT 或第 3 方工具将工作站、服务器和用户（以及其他事物，如 Exchange、Sharepoint 等）从您的域迁移到他们的林中。

编辑 - 乔还很好地说明了预期的内容：GPO 行为。真的，正如我上面所说，你应该对此进行一些认真的研究。有各种各样的影响，技术和组织，特别是如果您所在的企业属于任何类型的隐私法规 - PCI、HIPAA、SOX 以及许多其他法规。