Windows 2000 透過 Active Directory 樹系整合業務單元，但某些情況 (安全隔離、法規遵循、併購、結構描述頻繁變更) 需要分離樹系。Windows Server 2003 引入「樹系信任」功能，大幅簡化跨樹系資源存取授權。
樹系信任 vs 外部信任
- Windows 2000 樹系間：僅支援 NTLM 外部信任，不可傳遞、非 Kerberos、需逐對網域建立信任，管理複雜度隨網域數呈指數增長。
- Windows Server 2003 樹系信任：基於 Kerberos，連接兩樹系根網域，樹系內可傳遞 (樹系 A 信任樹系 B → 樹系 A 所有網域信任樹系 B 所有網域)，但樹系間不可傳遞 (A 信任 B、B 信任 C ≠ A 信任 C)。支援單向/雙向信任。
樹系信任優勢
- 跨樹系驗證：受信任樹系用戶可直接登入信任樹系電腦，無需重複建立帳號。
- 跨樹系授權：可直接指派受信任樹系用戶/群組權限存取信任樹系資源。
- 大幅減少信任關係數量：兩樹系各 3/4 個網域建立雙向外部信任需 24 個信任；加入第 3 樹系 (4 網域) 需 80 個。樹系信任僅需樹系根網域間建立 1 組信任。
- 帳號樹系架構：集中帳號於主樹系，資源樹系建立單向信任指向帳號樹系，可委派建立信任權限給非企業管理員群組 (「輸入樹系信任建立者」群組)。
建立樹系信任前置條件
- 兩樹系皆提升至 Windows Server 2003 樹系功能等級 (所有網域控制站執行 WS2003，網域/樹系功能等級皆為 WS2003)。
- 兩樹系根網域透過 DNS 互相解析。若現有 DNS 無法跨樹系解析，需於各樹系 DNS 伺服器設定條件式轉寄站 指向對方樹系 DNS 伺服器 IP。注意 IP 變更時需同步更新轉寄站清單。
使用「新增信任精靈」建立雙向樹系信任步驟
- 開啟「Active Directory 網域與信任」 (
domain.msc)，右鍵根網域→「屬性」→「信任」→「新增信任」。
- 輸入受信任樹系 DNS/NetBIOS 名稱，選擇「樹系信任」 (若未出現請檢查功能等級與 DNS 解析)。
- 選擇雙向信任。若擁有對方樹系管理權限，精靈可同時建立雙向信任。
- 選擇驗證範圍：
「允許所有受信任樹系使用者驗證」 (預設) 或
「僅允許本地樹系選取資源的選擇性驗證」 (更安全，但需逐台伺服器/資源設定權限)。
- 確認摘要資訊，精靈可自動驗證雙向信任。完成後信任類型顯示為「forest」。
限制與注意事項
- 跨樹系登入時，若本地樹系無該帳號，使用者需輸入 UPN (如
user@domain.com) 而非下拉選單選擇網域 (避免 NetBIOS 名稱衝突)。
- 非 Windows Server 2003/XP SP2 用戶端無法瀏覽跨樹系用戶/群組清單，需手動輸入 UPN 加入 ACL。
- UPN 尾碼衝突：多樹系使用相同郵件尾碼 (如
@company.com) 會衝突。內部需規劃唯一 UPN 尾碼 (如 @f1.company.com、@f2.company.com)，外部郵件仍用統一尾碼。
樹系信任是 Windows Server 2003 關鍵新功能，解決 Windows 2000 多樹系管理痛點，降低升級成本。
