Tengo dos directorios activos de Microsoft, llamémoslos Externo e Interno,
Lo que quiero hacer es:
- Agregue usuarios a AD interno sin contraseña (simplemente guarde algunos otros atributos para ellos).
- Cuando un usuario intenta iniciar sesión, la contraseña se comparará con el AD externo.
- Esto es sólo para usuarios del dominio, no para administradores.
- Ambos Active Directories están en servidores Windows.
- No sé cuál es la versión específica del servidor externo. Pero sé que es un servidor de Windows.
- Puedo autenticar usuarios usando openldap en Linux. "Proporcionando un nombre de usuario y contraseña". Lo que significa que es posible autenticar a los usuarios.
Tenga en cuenta que no estoy intentando robar las contraseñas ni nada por el estilo. Solo quiero que mi AD interno envíe el nombre de usuario y la contraseña al AD externo y el externo responderá si coinciden o no.
Hay varios servicios en mi empresa que utilizan la contraseña externa para los empleados (como el correo Exchange). Quiero que sigan usando el mismo nombre de usuario y contraseña en todas partes.
Aquí están los permisos que tengo:
- No tengo ningún permiso de "Administrador" en el AD externo. Sólo un permiso de usuario normal.
- Tengo permiso total en el AD interno.
- Tengo control total sobre las computadoras y los usuarios que intentarán iniciar sesión en el AD interno.
Algunas personas sugirieron que usara la confianza Kerberos entre dominios además de guiarme al lugar correcto para escribir esta pregunta. Busqué la confianza de Kerberos entre dominios, pero descubrí que necesito tener una contraseña para la confianza ingresada en ambos AD. Lo cual no puedo hacer porque no tengo permisos de administrador en el AD externo.
Tu ayuda es muy apreciada. gracias de antemano
Respuesta1
Servicios de directorio ligeros de Active Directory(AD LDS) parece una opción razonable para lo que estás buscando. Lo que llama "AD interno" puede ser una instancia de AD LDS que se autentica en lo que llama "AD externo".
No estoy seguro de entender exactamente su caso de uso, pero creoRedirección de enlace AD LDSProbablemente haría exactamente lo que estás buscando.