為什麼需要分離樹系？
- 管理自治： 不同事業單位/子公司擁有獨立 IT 團隊，不互信對方企業管理員。
- 結構版本不同步： 併購後舊樹系暫時無法升級，需共存過渡期。
- 結構定義隔離： 結構變更頻繁的單位 (如開發測試) 隔離於生產樹系，避免汙染。
- 法規/資料隔離： 銀行客戶資料、法律合約、機密研發資料必須物理/邏輯隔離。
Windows 2000 樹系間信任：NTLM 外部信任
- Kerberos 僅限樹系內部 (內部信任)，跨樹系只能用 NTLM 建立「外部信任」。
- 限制：不可傳遞 (A 信任 B，B 信任 C，A 不自動信任 C)、非 Kerberos (無法使用單一登入、委派)、管理爆炸 (每雙網域需手動建立信任)。
Windows Server 2003 樹系信任：Kerberos 跨樹系
- 連接兩棵樹系的 根網域，使用 Kerberos 協定。
- 特性：可傳遞於樹系內 (樹系 A 信任樹系 B → A 所有網域信任 B 所有網域)、不跨樹系傳遞 (A 信 B，B 信 C，A 不信 C)、支援單向/雙向。
樹系信任兩大優勢
- 跨樹系認證： 受信樹系用戶可直接登入信任樹系電腦，無需重建帳號。
- 跨樹系授權： 信任樹系資源 (檔案伺服器、SQL、SharePoint) 可直接授權 ACL 給受信樹系用戶/群組，無需建立影子帳號。
安全邊界維持：樹系信任不自動授予企業管理員/結構管理員跨樹系權限，需明確授權。
建立樹系信任步驟 (雙向)
- 雙方 DNS 互相解析：條件轉送器 或 次要區域/存根區域，確保根網域 SRV 記錄可解析。
- 樹系根網域 DC 上：
Active Directory 網域與信任 → 右鍵根網域 → 「內容」 → 「信任」頁籤 → 「新增信任」。
- 輸入對方樹系根網域名稱 → 選擇「樹系信任」 → 雙向 → 兩側皆選「樹系範圍驗證」 → 輸入信任密碼 (雙方相同) → 確認輸入 → 完成。
- 驗證：
netdom trust /d:ForestA.root ForestB.root /verify。
跨樹系信任 vs 外部信任 快速比較
| 特性 | 外部信任 (NTLM) | 樹系信任 (Kerberos) |
|---|
| 協定 | NTLM | Kerberos (AES/RC4) |
| 傳遞性 | 無 | 樹系內傳遞 |
| 單一登入 (SSO) | 否 | 是 |
| 委派/限制委派 | 否 | 是 |
| 管理規模 | 每雙網域 | 每雙樹系 (一次搞定所有網域) |
