Vertrauensstellung ändern?

[cjmatsel 10]

Hi,

 

wir haben ein Domänenkonzept aufgebaut, in welchem alle Betriebe untergeordnete Domänen zum Rechenzentrum sind (alle DCs sind mit W2k3-R2-SP2 ausgestattet). Damit werden automatisch transitive Vertrauensstellungen zwischen den Betrieben erstellt. Kann ich die Vertrauensstellung einfach auf Nicht-transitiv verändern oder muss ich sie löschen und neu anlegen? Gibt es Gefahren dabei, welche ich gesondert beachten muss?

 

Der Grund: Die Mitarbeiter können bei der Windows-Anmeldung andere Betriebe auswählen. Das möchte ich gerne einschränken, indem nur das Rechenzentrum und der eigene Betrieb sichtbar sind...

 

Gibt es andere und bessere Lösungen dafür?

Um Tips und Ratschläge, auch Links wäre ich dankbar.

 

cu,

cjmatsel

[grizzly999 11]

Wenn das ein Forest ist, sind die Vertrauensstellungen transitiv, das kann man auch nicht ändern. Du kannst separate Forest einrcihten, dann kann mna manuelle Vertrauensstellungen beliebiger Art einrichten.

 

Aber:

Die Mitarbeiter können bei der Windows-Anmeldung andere Betriebe auswählen

Na und?! Anmelden können sie sich an einer anderen Domäne sowieso nicht.

 

 

grizzly999

[Daim 12]

Servus,

 

wenn du dir mit Gewalt deine Struktur zerstören möchtest, könntest du dich ins innere des AD stürzen und z.B. mit ADSIEdit das Trust-Objekt löschen.

Aber dann kannst du auch gleich mit dem Hammer auf den DC schlagen.

 

Die AD-Replikation ist dabei das elementare und so wie grizzly es korrekterweise schon geschrieben hat, sind die Trusts in einem Forest transitiv und diese lassen sich standardmäßig mit dem Standard-Snap-In (AD Domänen- und Vertrauensstellungen) nicht löschen (warum wohl?).

 

Du könntest aber, entweder per selbst erstellter ADM die Default Domain hinterlegen oder aber komplett ausblenden.

Dann könnte man sich aber nur noch über den UPN-Namen sich anmelden und nicht mehr mit dem samAccountName (NT-Namen).

Wie genau das geht, suchst du bitte selbst im Internet.

 

Fakt ist: Finger weg von den Vertrauensstellungen!

[cjmatsel 10]

Hi,

 

danke an euch für die klaren Antworten. Ich hatte sowas schon vermutet und ihr gebt mir Recht.

 

Die Alternative mit dem Ausblenden bzw. Vorbelegen der Domäne ist mir noch gar nicht gekommen und scheint eine interessante Alternative zu sein.

 

cu,

cjmatsel