Eu tenho dois diretórios ativos da Microsoft, vamos chamá-los de Externo e Interno,
O que eu quero fazer é:
- Adicione usuários ao AD interno sem senha (basta salvar alguns outros atributos para eles).
- Quando um usuário tenta fazer login, a senha será verificada no AD externo.
- Isto é apenas para usuários de domínio e não para administradores.
- Ambos os Active Directory estão em servidores Windows.
- Não sei qual é a versão específica do servidor externo. Mas eu sei que é um servidor Windows.
- Consigo autenticar usuários usando openldap no Linux. “Fornecendo nome de usuário e senha”. O que significa que é possível autenticar os usuários.
Observe que não estou tentando roubar as senhas nem nada. Só quero que meu AD interno envie o nome de usuário e a senha para o AD Externo e o AD Externo responderá se eles correspondem ou não.
Existem vários serviços na minha empresa que usam a senha externa para os funcionários (como o Exchange Mail). Quero mantê-los usando o mesmo nome de usuário e senha em todos os lugares.
Aqui estão as permissões que tenho:
- Não tenho nenhuma permissão de "Administrador" no AD externo. Apenas uma permissão de usuário normal.
- Tenho permissão total no AD interno.
- Tenho controle total sobre os computadores e usuários que tentarão fazer login no AD Interno.
algumas pessoas sugeriram que eu usasse a confiança Kerberos entre domínios, além de me guiar para o lugar certo para escrever esta pergunta. Pesquisei a confiança Kerberos entre domínios, mas descobri que preciso ter uma senha para a confiança inserida em ambos os ADs. O que não posso fazer porque não tenho permissões de administrador no AD externo.
Sua ajuda é muito apreciada. desde já, obrigado
Responder1
Serviços de diretório leve do Active Directory(AD LDS) parece uma opção razoável para o que você está procurando. O que você está chamando de "AD Interno" pode ser uma instância do AD LDS que autentica o que você está chamando de "AD Externo".
Não tenho certeza se estou entendendo exatamente seu caso de uso, mas achoRedirecionamento de ligação do AD LDSprovavelmente faria exatamente o que você está procurando.