Active Directory: LDAP sobre SSL entre dois domínios

Question

Pode ser uma pergunta boba, mas não quero arriscar bagunçar um sistema em funcionamento.

Temos dois Active Directory separados, digamos "example.local" e "example.com". Há uma confiança entre os dois, então esses domínios estão realmente conectados.

Configuraremos um novo software dentro de alguns dias e ele exigirá uma conexão LDAP segura para ambos os domínios (LDAP sobre SSL). Atualmente não há CA disponível.

De acordo comMicrosofttemos que configurar uma CA, criar um novo certificado de autenticação de servidor e distribuí-lo para todos os DCs.

Estou me perguntando se devo distribuir o mesmo certificado para os controladores de domínio do outro domínio também? Ou preciso configurar duas CAs separadas (uma para cada domínio) e distribuir cada certificado apenas para seus DCs correspondentes? Estou um pouco confuso, desculpe antecipadamente!

Answer 1

Graças a @GregAskew consegui encontrar um funcionárioOrientação da Microsoft.

Fonte:https://social.technet.microsoft.com/Forums/windowsserver/en-US/2e56e765-566c-401b-8d1e-ee034ad8316a/does-certificate-work-in-cross-domain-environment?forum=winserversecurity

Basicamente todo o procedimento pode ser dividido em quatro etapas:

1. Crie uma confiança bidirecional entre a floresta de recursos (floresta onde o ADCS está implantado) e a floresta de contas.
2. Configure a CA na floresta de recursos para dar suporte ao registro entre florestas.
3. Copie modelos de certificado.
4. Copie objetos PKI para a floresta de contas.