ドメイン B のコンピューターが (信頼された) ドメイン コントローラー A にアクセスできない場合、これは問題ありませんか?

Question

少し単純化すると、あるサブネットにドメイン A のドメイン コントローラーがあり、別のサブネットにドメイン B のドメイン コントローラーがある状況があります。ドメイン B に参加している VM のほとんどは、ドメイン B のドメイン コントローラーがあるサブネット上にもあります。

どちらかのドメインの VM にアクセスする必要があるほとんどのユーザー アカウントは、ドメイン A にあります。

ドメイン B は、ドメイン A との単方向の信頼関係で構成されます。

現在、ファイアウォールの変更を実施し、ドメイン B のサブネット上のほとんどの VM がドメイン A のサブネットにアクセスできないようにしています。ドメイン コントローラーは引き続き相互に通信できます。

このため、ドメイン A のユーザーをサブネット B の VM 上のローカル グループに追加したい場合、この VM が A のドメイン コントローラーにアクセスできないため、追加できなくなりました。

ただし、標準的な方法は、ユーザーをそのように直接ローカル グループに追加しないことです。代わりに、ドメイン A に「Access to VM1」グループを作成し、そこにユーザーを追加します。次に、ドメイン B に「Access to VM1」を作成し、そこにドメイン A から「Access to VM1」を追加します。最後に、ドメイン B の「Access to VM1」グループを VM1 のローカル グループに追加します。これでうまくいきます。

これは合理的なモデルでしょうか? 特に、ドメイン B の VM のアクセスをドメイン A のドメイン コントローラーに制限することは合理的でしょうか? 将来的に、これによって発生する可能性のある他の問題はありますか?