AD Vertrauensstellung,Kommunikation zwischen Memberserver und getrusteter Domäne

[hoki 10]

Hallo MCSE Board.

 

Ein AD Problem lässt mir im Moment keine Ruhe. Habe hier leider kein Visio, muss es euch deshalb beschreiben.

 

Ich habe einen Server A, dieser steht in einer durch FiWa abgeschotteten IDC. Es exisiteren (unter anderem) Freischaltungen in Richtung einer Domäne B. In dieser ist der Server Memberserver, man kann sich auch anmelden, alles prima und wunderbar. Domäne B hat einen Trust zu Domäne C.

 

Man hat nun eine Gruppe aus Domäne C den lokalen Administratoren des Servers hinzugefügt, es gibt auch Freischaltungen für RDP von Workstations aus Domäne C in Richtung des Servers. Bis zur Konsole kommt man wunderbar, nur anmelden kann man sich nicht, Fehler "specified domain ... coult not be contacted".

 

Das die Domäne nicht kontaktiert werden kann ist klar, die FiWa sitzt dazwischen. Aber muss Sie überhaupt direkt kontaktiert werden? Meine Vorstellung war immer, das die Authehtifizierung über den eigenen DC läuft? Ich melde mich mit meinen crendentials von Domäne C an, der Memberserver reicht Sie weiter an seinen DC und der handelt alles weitere mit dem DC der getrusteten Domäne aus. Muss ich wirklich für jede getrustete Domäne und jeden Server Freischaltungen durchführen?

 

hoki

[NilsK 2.777]

Moin,

 

der DC aus Domäne B kann keine User aus Domäne C authentisieren. Das kann nur ein DC aus Domäne C.

 

Domäne B wird die authentisierten User aus Domäne C aber als grundsätzlich zugriffsberechtigt für Ressourcen aus Domäne B akzeptieren. Das (und nur das) ist der Sinn des Trusts.

 

Gruß, Nils

[hoki 10]

Hallo Nils.

 

Danke für die schnelle Antwort. Also braucht wirklich jeder Server, an dem sich User einer getrusteten Domäne anmelden wollen, auch die Möglichkeit mit der getrusteten Domäne kommunizieren zu können?

 

Dann ist meine Vorstellung gänzlich falsch. Ich konnte mir das auch wegen dem enormen Aufwand denn man dann hat nicht vorstellen. Hat jemand ein Ablaufdiagramm zur Hand in der die Authentifizierungsschritte chronoligisch aufgelistet werden. Google liefert bei Vertrauensstellungen zuviele hits...

 

hoki

 

-----

 

PS:

Ergänzung -< welche Ports wären das denn. Sind das die gleichen die auch für Vertrauensstellungen zwischen 2 Domänen gelten oder kann ich auf einige Dienste verzichten. Nur Kerberos und LDAP wird ja vermutlich nicht reichen.