☰

Доменные имена на 2-х похожих доменах Windows (Active Directory)

tag-icon • tag-icon active-directory windows-server-2008-r2 domain-controller
Доменные имена на 2-х похожих доменах Windows (Active Directory)

Я новичок в администрировании Windows (Server 2008r2), но я собираю новую среду и настраиваю домены Active Directory.

Я разбил свою систему на 2 части: управление (mgt) и операционную (ops). Они обе являются частями одной и той же системы, но их потребности в доступности немного различаются.

Я решил назвать свою систему "vmnet". Я создал 2 домена, vmnet.ops и vmnet.mgt.

Я предполагал, что это будут совершенно отдельные домены, как веб-сайты .com и .org.

К сожалению, при настройке общего файлового ресурса на vmnet.mgt я понял, что пользователю с тем же именем на vmnet.ops НЕ НУЖНО вводить учетные данные для доступа к общему ресурсу.

Итак: 1) Папка на сервере домена mgt, к которой предоставлен общий доступ[email protected]через общий ресурс Windows. 2) Войдите в систему на рабочей станции домена ops ([email protected]) и попробуйте получить доступ к общей папке. 3) Он позволяет мне войти без ввода учетных данных. 4) Просматривая разрешения общей папки в окне vmnet.ops, он говорит, что она предоставлена[email protected] 5) Глядя на фактическую общую папку с машины vmnet.mgt, она утверждает, что она доступна только[email protected].

Кажется, здесь есть перекрытие. Разные домены, должны иметь совершенно разные UID? Никакого перекрытия? Или я напутал, и vmnet.ops и vmnet.mgt — это один и тот же домен, а .mgt/.ops не имеют значения?

решение1

Если в каждом домене есть пользователь jake с одинаковым паролем, jake из одного домена сможет получить доступ к общим ресурсам в другом домене, поскольку пароль тот же. Это работает так:

  1. Если jake@domain1 получает доступ к ресурсам в domain1, пароль не отправляется в систему, в которой размещен ресурс, поскольку jake получил токен безопасности при входе в домен, и для получения доступа используется токен безопасности.

  2. Если jake@domain1 обращается к ресурсам, которые НЕ находятся в домене 1 (т. е. в домене 2 или системе, которая не находится в домене), он передаст имя пользователя и пароль jakes в другую систему, и если учетные данные совпадают с данными пользователя jake в этом домене или на этом компьютере, то jake получит доступ к этим ресурсам.

Связанный контент