Fiducie in Active Directory

Gli amministratori IT lavorano con e intorno a Active Directory dalla presentazione della tecnologia in Windows 2000 Server. Windows 2000 Server è stato rilasciato il 17 febbraio 2000, ma molti amministratori hanno iniziato a lavorare con Active Directory già alla fine del 1999, quando fu rilasciato per la produzione (RTM) il 15 dicembre 1999.

Cos'è Trust in AD?

Una trust è una relazione tra foreste e/o domini.

In una foresta AD, tutti i domini si fidano reciprocamente perché viene creato un two way transitive trust quando ogni dominio viene aggiunto. Questo consente all'autenticazione di passare da un dominio a qualsiasi altro dominio nella stessa foresta.

È possibile creare trusts outside of the forest anche con altre foreste e domini AD DS o regni Kerberos v5.

Ai tempi di Windows NT 4.0, non esisteva una foresta o una struttura gerarchica. Se avevi più domini, dovevi creare manualmente trust tra di loro. Con Active Directory, hai automaticamente trust transitivi bidirezionali tra domini nella stessa foresta. Ai tempi di Windows NT 4.0, dovevi usare anche NetBIOS per stabilire i trust!

Fortunatamente, siamo andati avanti e ora abbiamo funzionalità aggiuntive di fiducia, specialmente per quanto riguarda la securing trusts con autenticazione selettiva e filtraggio SID.

Ogni trust in un dominio è memorizzato come un oggetto trustedDomain object (TDO) nel System container. Pertanto, per trovare ed elencare tutti i trust e i tipi di trust in un dominio chiamato contoso.com, eseguire il comando Get-ADObject –SearchBase “cn=system,dc=contoso,dc=com” –Filter * -Properties trustType | where {$_.objectClass –eq “trustedDomain”} | select Name,trustType di Windows PowerShell command.

Ci sono 4 valori validi per l'attributo trustType. Tuttavia, solo il valore 1 (che indica un trust con un dominio NT) e il valore 2 (che indica un trust con un dominio Active Directory) sono comuni. Ci sono molte altre informazioni utili sui trust memorizzate nell'oggetto trustedDomain.

In un dominio chiamato contoso.com, esegui il comando Get-ADObject –SearchBase “cn=system,dc=contoso,dc=com” –Filter * -Properties * | where {$_.objectClass –eq “trustedDomain”} | FL di Windows PowerShell per esaminare tutte le trust properties.

Puoi anche visualizzare molte delle proprietà principali di un trust eseguendo il comando Get-ADTrust –Filter *.

Proprietà di fiducia

La tabella sottostante mostra le trust properties e una descrizione di ogni proprietà.

Da un punto di vista della scalabilità, ci sono un paio di cose riguardo i trust che dovresti essere a conoscenza di:

• Numero massimo di trust per l'autenticazione Kerberos.

Se un cliente in un dominio fidato tenta di accedere a una risorsa in un dominio che si fida, il cliente non può autenticarsi se il percorso di verità ha più di 10 trust links. In ambienti con un gran numero di trust e percorsi di trust lunghi, si dovrebbe implementare trust scorciatoia per migliorare le prestazioni e garantire la funzionalità di autenticazione Kerberos.

• Le prestazioni peggiorano dopo 2.400 trust.

In ambienti molto grandi e complessi, potresti avere un numero enorme di trust. Dopo aver raggiunto i 2,400 trusts, qualsiasi trust aggiuntivo inserito nel tuo ambiente potrebbe influenzare significativamente le prestazioni rispetto ai trust, specialmente in relazione all'autenticazione.

Ulteriori informazioni sui fondamenti di Active Directory le troverai nel nostro AD tutorial for begginners.