Windows Server 2008 R2 與 2012 建立樹系信任完整圖文教學：DNS 條件轉送/存根區域、雙向樹系信任、選擇性驗證

一、建立 DNS 條件轉送 / 存根區域 (雙向)

1. 登入 test.com (2012) → DNS 管理員 → test.com 區域屬性 → 「區域傳送」 → 勾選「允許區域傳送」 → 「僅允許至下列伺服器」 → 新增 contoso.com DC IP
2. 同樣在 contoso.com (2008 R2) 設定允許傳送至 test.com DC IP
3. test.com → 正向查詢區域 → 右鍵「新增區域」 → 「存根區域」 → 區域名稱 contoso.com → 主要 DNS 伺服器填 contoso.com DC IP
4. contoso.com 同樣建立 test.com 存根區域指向 test.com DC

二、建立樹系信任 (雙向)

1. contoso.com → 「Active Directory 網域與信任關係」 → 右鍵網域 → 內容 → 「信任」索引標籤 → 「新增信任」
2. 信任名稱：test.com → 下一步
3. 信任類型：選 「樹系信任」
4. 信任方向：選 「雙向」
5. 信任雙方：選 「這個網域和指定的網域」
6. 輸入 test.com 企業管理員帳號密碼
7. 傳出信任驗證：選 「樹系範圍驗證」
8. 傳入信任驗證：同選 「樹系範圍驗證」
9. 確認傳出/傳入信任設定 → 完成

驗證

• 雙方「Active Directory 網域與信任關係」 → 信任清單顯示 「樹系信任、雙向、樹系範圍驗證」
• 測試跨樹系查詢：nslookup test.com、ping test.com DC
• ADMT (Active Directory 遷移工具) 可開始跨樹系物件遷移

進階選項：若僅需特定 OU/群組跨樹系存取資源，可在信任精靈「傳出/傳入信任驗證」選擇 「選擇性驗證」，再於目標資源電腦安全性設定「允許驗證」特定主體。生產環境建議啟用選擇性驗證實踐最小權限原則。