Администрирование

Лес

Лес — объединение одного или более деревьев — позво- ляет группировать подразделения предприятия (или два пред- приятия для объединения их сетей), которые не используют одинаковую схему именования, работают независимо друг от друга, но должны обмениваться данными. Деревья в лесу обес- печивают доступ к одинаковой схеме и правилам совместной работы объектов. Все домены леса имеют единый глобальный каталог и конфигурационный контейнер.
Леса различаются по:

• 
  одному или более набору деревьев;
  
• 
  несвязанному пространству имен между этими деревьями;
  
• 
  доверительным отношениям между деревьями по про- токолу Kerberos;
  
• 
  общей схеме;
  
• 
  способности отображать любой объект в глобальном каталоге.
  

Объекты деревьев домена, образующие лес, доступны всем его пользовательским объектам.

Доверительные отношения

Домены в дереве связываются друг с другом, используя двусторонние транзитивные доверительные отношения по про- токолу Kerberos. Транзитивное доверие Kerberos (Kerberos tran-
sitive trust) означает, что если домен А доверяет домену Б и до- мен Б доверяет домену В, то домен А доверяет домену В.
Поэтому присоединенный к дереву домен сразу вступает в доверительные отношения с каждым доменом дерева. Эти от- ношения делают все объекты во всех доменах дерева доступны- ми всем прочим доменам в дереве.
Доверительные отношения — связующее звено между ми- нимум двумя доменами, при этом доверяющий домен предо- ставляет аутентификацию входа в систему доверяемому.
Пользовательские учетные записи и группы, определенные в доверяемом домене, могут получать права и полномочия в до- веряющем, даже если их нет в его каталоге.
В Windows NT 4.0 и более ранних версиях междоменные доверительные отношения определялись явными односторон- ними доменными учетными записями между контроллерами доменов. Каждое отношение устанавливалось и управлялось ин- дивидуально. Управление односторонними отношениями между доменами большой сети проблематично.