IT 管理者は、Windows 2000 Server でこの技術が導入されて以来、Active Directory を取り扱い、その周辺で作業してきました。Windows 2000 Server は 2000 年 2 月 17 日にリリースされましたが、多くの管理者は、Active Directory が 1999 年 12 月 15 日に量産（RTM）向けにリリースされた 1999 年後半の時点で作業を始めていました。
AD における信頼（Trust）とは？
信頼（trust）は、フォレストや/またはドメインの間の関係です。
AD フォレストでは、各ドメインが追加されると two way transitive trust が作成されるため、すべてのドメインが互いを信頼します。これにより、認証が 1 つのドメインから同一フォレスト内の別の任意のドメインへと中継されます。
フォレストの外側に trusts outside of the forest を作成することも、他の AD DS フォレストやドメイン、または Kerberos v5 レルムを相手に可能です。
昔の Windows NT 4.0 の頃は、フォレストや階層構造がありませんでした。ドメインが複数ある場合、それらの間で信頼関係を手動で作成する必要がありました。Active Directory では、同じフォレスト内のドメイン間に双方向の推移的（transitive）な信頼関係が自動的に設定されます。Windows NT 4.0 の時代には、信頼関係を確立するために NetBIOS も使わないといけなかったんです！
幸いなことに状況は大きく前進しており、現在では追加の信頼機能が用意されています。特に securing trusts を、選択的認証と SID フィルタリングで実現できます。
ドメイン内の各信頼は trustedDomain object (TDO) として System container に保存されます。したがって、ドメイン名が すべての信頼 と信頼タイプを見つけて一覧表示するには、contoso.com というドメインで次の Get-ADObject –SearchBase “cn=system,dc=contoso,dc=com” –Filter * -Properties trustType | where {$_.objectClass –eq “trustedDomain”} | select Name,trustType Windows PowerShell コマンド を実行します。
4 つの有効な値が trustType 属性に対してあります。ただし、値 1（NT ドメインとの信頼を示す）と値 2（Active Directory ドメインとの信頼を示す）が一般的です。信頼に関して、trustedDomain オブジェクトに格納されている他にも多くの良い情報があります。
ドメイン名が contoso.com の場合は、次の Get-ADObject –SearchBase “cn=system,dc=contoso,dc=com” –Filter * -Properties * | where {$_.objectClass –eq “trustedDomain”} | FL Windows PowerShell コマンド を実行して、信頼プロパティ 全てを確認します。
次の Get-ADTrust –Filter * コマンドを実行すると、信頼の主要なプロパティの多くも確認できます。
信頼プロパティ
以下の表には trust properties と、各プロパティの説明を示します。
Trust property | Property description |
|---|---|
|
Direction |
Valid values are bidirectional, inbound, or outbound. Note that the direction is relative to the domain in which you are running the query. |
|
DisallowTransivity |
I think this is a Microsoft typo as it really should be “DisallowTransitivity”. This can be set to True or False based on whether the trust disallows tranitivity. |
|
DistinguishedName |
The DN of the trusted domain object. |
|
ForestTransitive |
This is set to True when a forest trust is transitive and False when a forest trust is non-transitive. |
|
IntraForest |
This is set to True when a trust is between domains in the same forest or set to False when a trust is between domains in different forests. |
|
IsTreeParent |
Valid values are True and False. |
|
IsTreeRoot |
|
|
Name |
The name of the domain that is part of the trust, not the domain where the query is run. |
|
ObjectClass |
This is set to trustedDomain for trusts. |
|
ObjectGUID |
Globally unique identifier for the trust. An example is de207451-51ed-44cd-4248-85ad9fcb2d50. |
|
SelectiveAuthentication |
Set to True if the trust is configured for selective authentication or False if it isn’t. |
|
SIDFilteringForestAware |
Set to True if a forest trust is configured for selective authentication |
|
SIDFilteringQuarantined |
Set to True when SID filtering with quarantining is used for a trust. Used for external trusts only. |
|
Source |
Set to the DN of the trust root. In a forest trust, the DN of the root domain of the forest is the source. |
|
Target |
Set to the domain name of the other side of the trust. |
|
TGTDelegation |
Set to True if Kerberos full delegation is enabled on outbound forest trusts. Default is False. |
|
TrustAttributes |
Set to a numerical value indicating the trust configuration. For example |
|
TrustedPolicy |
Undocumented |
|
TrustingPolicy |
Undocumented |
|
TrustType |
Set to Uplevel for trusts with Active Directory forests and domains, DownLevel for trusts pre-Active Directory domains such as NT 4 domains, Kerberos realm for trusts with Unix/Linux realms. |
|
UplevelOnly |
Set to True if only Windows 2000 and later operating systems can use the trust link. |
|
UsesAESKeys |
Set to True for realm trusts that use AES encryption keys. |
|
UsesRC4Encryption |
Set to True for realm trusts that use RC4 encryption keys. |
拡張性の観点から、信頼（trust）について把握しておくべき点がいくつかあります。 be aware of：
- Kerberos 認証に使用できる信頼（trust）の最大数。
信頼されたドメイン（trusted domain）のクライアントが、信頼するドメイン（trusting domain）のリソースにアクセスしようとした場合、10 trust links を超える truth path があると、クライアントは認証できません。信頼が多数あり、信頼パスが長い環境では、パフォーマンスを向上させ、Kerberos 認証機能を確実にするために shortcut trusts を実装する必要があります。
- 信頼（trust）が 2,400 件を超えると、パフォーマンスが低下します。
非常に大規模で複雑な環境では、信頼（trust）が膨大な数存在することがあります。2,400 trusts に到達した後は、環境に追加される信頼が既存の信頼に比べて、パフォーマンスに大きな影響を与える可能性があります。特に認証に関連する場合は顕著です。
Active Directory の基礎について詳しくは、私たちの AD tutorial for begginners でご確認ください。
共有する
もっと詳しく
著者について
Brian Svidergol
IT
Windows、Active Directory、Azure、Microsoft Exchange、System Center、仮想化、MDOP を中心に構築された Microsoft インフラおよびクラウドベースのソリューションに精通するエキスパートです。書籍の執筆に加えて、Brian はトレーニング資料やホワイトペーパーを執筆しており、多数の書籍や出版物の技術レビュアーも務めています。