Windows Server 2003 跨樹系信任關係詳細解析

企業併購、部門分立常導致多 Active Directory 樹系共存。Windows Server 2003 引入「樹系信任」，大幅簡化跨樹系資源存取配置。本文系統整理三類跨樹系信任類型、適用場景與關鍵特性。

背景：Windows 2000 僅支援外部信任

• 單向、不可傳遞，僅限兩個特定網域間。
• 需為每對網域手動建立雙向信任（實際建兩次單向）。
• 管理負擔隨網域數平方級增長。

Windows Server 2003 三大跨樹系信任類型

1. 外部信任 — 精準點對點

• 本質：單向、不可傳遞，同 Windows 2000 行為。
• 適用：僅需共享兩個特定網域資源；或與 Windows NT 4.0 網域互信。
• 樹系功能等級：任意等級均可建立。

2. 樹系信任 — 全域雙向傳遞

• 本質：可為單向或雙向，**可傳遞**，涵蓋兩個樹系內**所有網域**。
• 前置條件：雙方樹系功能等級均為 **Windows Server 2003** 或更高。
• 四大優勢：

1. 減少信任關係數量：一條樹系信任取代 N×M 條外部信任，極大簡化管理。
2. UPN 鑑別範圍擴大：跨樹系使用者主體名稱 (UPN) 可直接路由驗證，管理員可委派授權。
3. 複寫隔離：各樹系 AD 複寫獨立運行，結構變更（新增網域、提升功能等級）不影響受信樹系。
4. 強化授權資料可靠性：跨樹系授權資料傳輸支援 Kerberos 與 NTLM 協定，提供加密保護。

3. 領域信任 — 整合非 Windows Kerberos 環境

• 本質：單向、不可傳遞，連結 AD 網域與 MIT Kerberos V5 領域（Unix/Linux）。
• 適用：異質環境單一登入 (SSO) 整合。

選型決策表

實作提醒

• 建立樹系信任前，確雙方 DNS 能解析對方樹系根網域 SRV 記錄（條件轉送器或次要區域）。
• 信任建立後，需在資源端網域將信任樹系的使用者/群組加入本地資源 ACL 或本地群組。
• 定期使用 netdom trust /verify 驗證信任健康狀態。

Windows Server 2003 的樹系信任是多樹系架構管理的里程碑，善用它能將跨組織身分識別整合從「點對點管制」升級為「樹系級治理」。