Domini e trust di Active Directory

Domini e trust di Active Directory è lo snap-in Microsoft Management Console (MMC) che è possibile utilizzare per gestire trust tra domini, livelli di funzionalità di domini e foreste e suffissi di nome dell'entità utente (UPN).

  • Gestire domini e foreste

  • Gestire trust

  • Gestire i trust tra foreste

  • Risolvere i problemi relativi a domini e trust di Active Directory.

  • Risorse per Domini e trust di Active Directory

  • Interfaccia utente: Domini e trust di Active Directory


Gestire domini e foreste

Utenti e computer di Active Directory può essere utilizzato per visualizzare e modificare i livelli di funzionalità dei domini e delle foreste e per creare suffissi di nome dell'entità utente (UPN).

  • Informazioni sulla funzionalità domini e foreste

  • Aumentare il livello di funzionalità del dominio

  • Aumentare il livello di funzionalità della foresta

  • Aggiungere suffissi di nome dell'entità utente


Informazioni sulla funzionalità domini e foreste

Funzionalità del dominio e della foresta

La funzionalità del dominio e della foresta, disponibile in Servizi di dominio Active Directory in Windows Server® 2008 R2, consente di attivare funzionalità di Active Directory a livello di dominio o di foresta all'interno dell'ambiente di rete. Sono disponibili diversi livelli di funzionalità di dominio e di foresta, in base all'ambiente di rete specifico.

Se tutti i controller di dominio nel dominio o nella foresta eseguono Windows Server 2008 R2 e il livello di funzionalità del dominio e della foresta è impostato su Windows Server 2008 R2, tutte le funzionalità a livello di dominio e di foresta sono disponibili. Quando il dominio o la foresta include controller di dominio Windows® 2000, Windows Server 2003 o Windows Server 2008, le funzionalità di Active Directory sono limitate. Per ulteriori informazioni sulla procedura di attivazione delle funzionalità a livello di dominio o di foresta, vedere Aumentare il livello di funzionalità del dominio e Aumentare il livello di funzionalità della foresta.

Funzionalità del dominio

La funzionalità del dominio abilita le funzionalità che influenzano l'intero dominio (e solo quest'ultimo). In Servizi di dominio Active Directory in Windows Server 2008 R2 sono disponibili quattro livelli di funzionalità del dominio: Windows 2000 originale, Windows Server 2003 (livello predefinito), Windows Server 2008 e Windows Server 2008 R2.

Nella tabella seguente sono illustrati i livelli di funzionalità del dominio e i relativi controller di dominio supportati:

Livello di funzionalità del dominio | Controller di dominio supportati
Windows 2000 originale | Windows 2000 Server Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2003 | Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 | Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 R2 | Windows Server 2008 R2

Quando si aumenta il livello di funzionalità del dominio, i controller di dominio sui quali sono in esecuzione sistemi operativi precedenti non possono essere inseriti nel dominio. Se si aumenta il livello di funzionalità del dominio portandolo a Windows Server 2008 R2, non è possibile aggiungere al dominio controller di dominio che eseguono Windows Server 2008.

Nella tabella seguente sono illustrate le funzionalità a livello di dominio attivate per i livelli di funzionalità del dominio di Servizi di dominio Active Directory in Windows Server 2008 R2.

Livello di funzionalità del dominio Funzionalità attivate

Windows 2000 originale

Tutte le funzionalità predefinite di Active Directory e le funzionalità seguenti:

  • I gruppi universali sono abilitati per i gruppi di distribuzione e di sicurezza.

  • Nidificazione dei gruppi.

  • La conversione dei gruppi è abilitata, il che rende possibile la conversione tra gruppi di sicurezza e gruppi di distribuzione.

  • Cronologia ID di sicurezza (SID)

Windows Server 2003

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows 2000 originale, più le funzionalità seguenti:

  • La disponibilità dello strumenti di gestione del dominio, Netdom.exe, per la preparazione della ridenominazione dei controller di dominio.

  • Aggiornamento del timestamp di accesso. L'attributo lastLogonTimestamp viene aggiornato con l'orario dell'ultimo accesso dell'utente o computer. Questo attributo viene replicato sul dominio.

  • La capacità di impostare l'attributo userPassword come password efficace sull'oggetto inetOrgPerson e sugli oggetti utente.

  • La capacità di reindirizzare i contenitori Utenti e computer. Per impostazione predefinita, due contenitori noti sono disponibili per l'inserimento di account computer e account utente/di gruppo: cn=Computers,<domain root> e cn=Users,<domain root>. Questa funzionalità consente di definire un nuovo percorso noto per questi account.

  • Gestione autorizzazioni è in grado di archiviare i propri criteri di autorizzazione in AD DS.

  • È inclusa la delega vincolata, che consente alle applicazioni di sfruttare la delega sicura delle credenziali dell'utente mediante il protocollo di autenticazione Kerberos. È possibile configurare la delega perché sia consentita solo su servizi di destinazione specifici.

  • L'autenticazione selettiva è supportata, consentendo di specificare utenti e gruppi da una foresta trusted cui sia consentita l'autenticazione in server di risorse in una foresta trusting.

Windows Server 2008

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows 2003, più le funzionalità seguenti:

  • Supporto della replica DFS per SYSVOL, che consente una replica più affidabile e dettagliata del contenuto SYSVOL.

  • Supporto di servizi di crittografia avanzati (AES 128 e 256) per il protocollo di autenticazione Kerberos.

  • Informazioni sull'ultimo accesso interattivo, che indicano l'ora dell'ultimo accesso interattivo riuscito per un utente, la workstation da cui è avvenuto il tentativo e il numero di tentativi di accesso non riusciti dopo l'ultimo accesso.

  • Criteri specifici per le password, che consentono di specificare criteri per le password e il blocco degli account per utenti e gruppi di sicurezza globali in un dominio.

Windows Server 2008 R2

Tutte le funzionalità predefinite di Active Directory, tutte le funzionalità del livello di funzionalità del dominio Windows Server 2008, più le funzionalità seguenti:

  • Verifica del meccanismo di autenticazione, che consente di raccogliere informazioni sul tipo di metodo di accesso (smart card oppure nome utente/password) utilizzato per l'autenticazione degli utenti di dominio nel token Kerberos di ogni utente. Quando si attiva questa funzionalità in un ambiente di rete in cui è distribuita un'infrastruttura per la gestione delle identità federative, come Active Directory Federation Services (ADFS), le informazioni nel token possono essere estratte ogni volta che un utente tenta di accedere a qualsiasi applicazione in grado di riconoscere attestazioni sviluppata per determinare le autorizzazioni in base al metodo di accesso dell'utente.

Funzionalità della foresta

La funzionalità della foresta abilita funzionalità su tutti i domini della foresta. Nel sistema operativo Windows Server 2008 R2 sono disponibili quattro livelli di funzionalità della foresta: Windows 2000, Windows Server 2003 (livello predefinito), Windows Server 2008 e Windows Server 2008 R2.

Nella tabella seguente sono illustrati i livelli di funzionalità della foresta disponibili nel sistema operativo Windows Server 2008 R2 e i relativi controller di dominio supportati.

Livello di funzionalità della foresta | Controller di dominio supportati
Windows 2000 | Windows NT® 4.0 Windows 2000 Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2003 (predefinito) | Windows Server 2003 Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 | Windows Server 2008 Windows Server 2008 R2
Windows Server 2008 R2 | Windows Server 2008 R2

Quando si aumenta il livello di funzionalità della foresta, i controller di dominio sui quali sono in esecuzione sistemi operativi precedenti non possono essere inseriti nella foresta. Se, ad esempio, si aumenta il livello di funzionalità della foresta portandolo a Windows Server 2008 R2, non è possibile aggiungere alla foresta controller di dominio che eseguono Windows Server 2008.

Nella tabella seguente sono illustrate le funzionalità a livello di foresta attivate per i livelli di funzionalità della foresta Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2.

Livello di funzionalità della foresta Funzionalità attivate

Windows Server 2003

Tutte le funzionalità predefinite di Active Directory e le funzionalità seguenti:

  • Trust tra foreste

  • Ridenominazione dei domini

  • Replica del valore collegato (le modifiche all'appartenenza ai gruppi memorizzano e replicano i valori per i singoli membri anziché per l'appartenenza come unità singola). Questo determina minore utilizzo della larghezza di banda di rete e del processore durante la replica ed elimina la possibilità di perdita di aggiornamenti quando più membri vengono aggiunti o rimossi contemporaneamente a livelli dei diversi controller di dominio.

  • La capacità di distribuire un controller di dominio di sola lettura che esegua Windows Server 2008.

  • Algoritmi di Controllo coerenza informazioni (KCC) e scalabilità migliorati. Il generatore della topologia tra siti (ISTG) utilizza algoritmi migliorati che si adattano per supportare le foreste con un maggiore numero di siti che è possibile supportare al livello di funzionalità foresta Windows 2000.

  • La capacità di creare istanze della classe ausiliaria dinamica denominata dynamicObject in una partizione di directory del dominio.

  • La capacità di convertire un'istanza dell'oggetto inetOrgPerson in un'istanza dell'oggetto User e viceversa.

  • La capacità di creare istanze di nuovi tipi di gruppi, detti gruppi applicazione di base e gruppi query Lightweight Directory Access Protocol (LDAP), per supportare l'autorizzazione basata su ruoli.

  • Disattivazione e ridefinizione degli attributi e delle classi nello schema.

Windows Server 2008

Questo livello di funzionalità offre tutte le funzionalità disponibili per il livello di funzionalità della foresta Windows Server 2003, ma nessuna funzionalità aggiuntiva. Per tutti i domini successivamente aggiunti alla foresta, tuttavia, sarà attivo il livello di funzionalità del dominio Windows Server 2008 per impostazione predefinita.

Windows Server 2008 R2

Tutte le funzionalità disponibili per il livello di funzionalità della foresta Windows Server 2003, più le funzionalità seguenti:

  • Cestino di Active Directory, che consente di ripristinare completamente gli oggetti eliminati mentre Servizi di dominio Active Directory è in esecuzione.

Per tutti i domini aggiunti successivamente alla foresta sarà attivo il livello di funzionalità del dominio Windows Server 2008 R2 per impostazione predefinita.

Se si intende includere solo controller di dominio che eseguono Windows Server 2008 R2 nell'intera foresta, è possibile scegliere questo livello di funzionalità della foresta per convenienza amministrativa. In tal caso non sarà mai necessario aumentare il livello di funzionalità del dominio per ogni dominio creato nella foresta.

Ulteriori riferimenti

  • Gestire domini e foreste


Aumentare il livello di funzionalità del dominio

Quando si installa Servizi di dominio Active Directory in un server in cui è in esecuzione Windows Server 2008 R2, viene attivato per impostazione predefinita un set di funzionalità di base di Active Directory. Oltre alle funzionalità di base di Active Directory nei singoli controller di dominio, quando tutti i controller di dominio in un dominio o foresta eseguono Windows Server 2008 R2 sono disponibili nuove funzionalità a livello di dominio e di foresta.

Per consentire l'attivazione delle nuove funzionalità a livello di dominio, è necessario che in tutti i controller di dominio nel dominio sia in esecuzione Windows Server 2008 R2 e che il livello di funzionalità del dominio sia portato a Windows Server 2008 R2.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aumentare il livello di funzionalità del dominio

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul dominio per il quale si desidera aumentare il livello di funzionalità e quindi scegliere Aumento livello funzionalità dominio.

  3. In Selezionare un livello funzionalità domino disponibile eseguire una delle operazioni seguenti:

    • Per aumentare il livello di funzionalità del dominio portandolo a Windows Server 2008, fare clic su Windows Server 2008 e quindi su Aumenta.

    • Per aumentare il livello di funzionalità del dominio portandolo a Windows Server 2008 R2, fare clic su Windows Server 2008 R2 e quindi su Aumenta.
Attenzione

Non aumentare il livello di funzionalità del dominio impostandolo su una versione successiva, ad esempio Windows Server 2008 o Windows Server 2008 R2, se si utilizzano o si prevede di utilizzare controller di dominio che eseguono versioni precedenti di Windows Server.

Importante

Dopo l'impostazione del livello di funzionalità del dominio su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità del dominio a Windows Server 2008 R2 e il livello di funzionalità della foresta è Windows Server 2008 o inferiore, è possibile ripristinare il livello di funzionalità del dominio su Windows Server 2008. È possibile diminuire il livello di funzionalità del dominio solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità del dominio è impostato su Windows Server 2008 R2 non è possibile ripristinare un livello inferiore, ad esempio Windows Server 2003.

Ulteriori considerazioni

  • È inoltre possibile aumentare il livello di funzionalità del dominio facendo clic con il pulsante destro del mouse su un dominio nello snap-in Computer e utenti di Active Directory e quindi facendo clic su Aumento livello di funzionalità dominio.

  • Il livello di funzionalità del dominio corrente è visualizzato in Livello di funzionalità dominio corrente nella finestra di dialogo Aumento livello funzionalità dominio.

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Per eseguire l'attività descritta in questa procedura, è inoltre possibile utilizzare il modulo Active Directory per Windows PowerShell™. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aumento del livello di funzionalità del dominio (http://go.microsoft.com/fwlink/?LinkId=137825). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire domini e foreste


Aumentare il livello di funzionalità della foresta

Quando si installa Servizi di dominio Active Directory in un server in cui è in esecuzione Windows Server 2008 R2, viene attivato per impostazione predefinita un set di funzionalità di base di Active Directory. Oltre alle funzionalità di base di Active Directory nei singoli controller di dominio, quando tutti i controller di dominio in un dominio o in una foresta eseguono Windows Server 2008 R2 sono disponibili nuove funzionalità a livello di dominio e di foresta.

Per consentire l'attivazione delle nuove funzionalità a livello di foresta, è necessario che in tutti i controller di dominio nella foresta sia in esecuzione Windows Server 2008 R2 e che il livello di funzionalità della foresta sia portato a Windows Server 2008 R2.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aumentare il livello di funzionalità della foresta

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Domini e trust di Active Directory e quindi fare clic su Aumento livello funzionalità foresta.

  3. In Selezionare un livello funzionalità foresta disponibile eseguire una delle operazioni seguenti:

    • Per aumentare il livello di funzionalità della foresta portandolo a Windows Server 2008, fare clic su Windows Server 2008 e quindi su Aumenta.

    • Per aumentare il livello di funzionalità della foresta portandolo a Windows Server 2008 R2, fare clic su Windows Server 2008 R2 e quindi su Aumenta.
Attenzione

Non aumentare il livello di funzionalità della foresta impostandolo su Windows Server 2008 R2 se si utilizzano o si prevede di utilizzare controller di dominio che eseguono Windows Server 2008 o versioni precedenti.

Importante

Dopo l'impostazione del livello di funzionalità della foresta su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità con una sola eccezione: quando si aumenta il livello di funzionalità della foresta a Windows Server 2008 R2 e il Cestino di Active Directory non è attivato, è possibile ripristinare il livello di funzionalità della foresta su Windows Server 2008. È possibile diminuire il livello di funzionalità della foresta solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità della foresta è impostato su Windows Server 2008 R2 non è possibile ripristinarlo, ad esempio a Windows Server 2003.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Windows Server 2003 rappresenta il livello di funzionalità del dominio minimo necessario per portare il livello di funzionalità della foresta a Windows Server 2008. Analogamente, Windows Server 2008 rappresenta il livello di funzionalità del dominio minimo necessario per portare il livello di funzionalità della foresta a Windows Server 2008 R2.

  • Prima di aumentare il livello di funzionalità della foresta a Windows Server 2008 R2, verificare che tutti i domini nella foresta siano impostati sul livello di funzionalità del dominio Windows Server 2008. Si noti che i domini impostati sul livello di funzionalità del dominio Windows Server 2008 vengono portati automaticamente a Windows Server 2008 R2 quando il livello di funzionalità della foresta viene portato a Windows Server 2008 R2.

  • Se non è possibile aumentare il livello di funzionalità della foresta, è possibile fare clic su Salva con nome nella finestra di dialogo Aumento livello funzionalità foresta per salvare un file di registro che specifica quali controller di dominio nella foresta devono ancora essere aggiornati a una versione successiva.

  • Il livello di funzionalità della foresta corrente è visualizzato in Livello di funzionalità foresta corrente nella finestra di dialogo Aumento livello funzionalità foresta.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aumento del livello di funzionalità della foresta (http://go.microsoft.com/fwlink/?LinkId=137826). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire domini e foreste


Aggiungere suffissi di nome dell'entità utente

È possibile utilizzare Domini e trust di Active Directory per aggiungere i suffissi di nome dell'entità utente (UPN) per l'account utente esistente. Il suffisso UPN predefinito per un account utente è il nome di dominio DNS (Domain Name System) del dominio che include l'account utente. È possibile aggiungere suffissi UPN alternativi per semplificare i processi di amministrazione e di accesso degli utenti specificando un singolo suffisso UPN per tutti gli utenti. Il suffisso UPN viene utilizzato esclusivamente nella foresta di Active Directory e non deve necessariamente essere un nome di dominio DNS valido.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per aggiungere suffissi UPN

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Domini e trust di Active Directory e quindi fare clic su Proprietà.

  3. Nella scheda Suffissi UPN digitare un suffisso UPN alternativo per la foresta e quindi fare clic su Aggiungi.

  4. Ripetere il passaggio 3 per aggiungere suffissi UPN alternativi aggiuntivi.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • I suffissi UPN devono essere conformi alle convenzioni DNS relative a sintassi e caratteri validi.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di suffissi del nome dell'entità utente (http://go.microsoft.com/fwlink/?LinkId=137827). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Gestire domini e foreste


Gestire trust

Utenti e computer di Active Directory può essere utilizzato per gestire trust tra domini.

  • Informazioni sui trust

  • Informazioni sui tipi di trust

  • Informazioni sulla direzione dei trust

  • Informazioni sulla transitività dei trust

  • Informazioni sulla creazione di un trust esterno

  • Informazioni sulla creazione di un trust di collegamento

  • Informazioni sulla creazione di un trust area di autenticazione

  • Creare un trust di collegamento

  • Creare un trust esterno

  • Creare un trust area di autenticazione

  • Verificare un trust

  • Rimuovere un trust

  • Selezionare l'ambito di autenticazione per gli utenti


Informazioni sui trust

Trust

Un trust è una relazione, stabilita tra domini, che consente agli utenti in un dominio di essere autenticati da un controller di dominio nell'altro dominio.

Trust in Windows NT

Nel sistema operativo Windows NT® 4.0, i trust sono limitati a due domini e la relazione di trust è non transitiva e unidirezionale. Nella figura seguente il trust non transitivo unidirezionale è indicato dalla freccia diritta rivolta verso il dominio trusted.

Direzione del percorso di trust

Trust nei sistemi operativi Windows 2000 Server, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2

Tutti i trust nelle foreste Windows 2000 Server, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 sono transitivi e bidirezionali. Pertanto, entrambi i domini in una relazione di trust sono trusted. Come illustrato nella figura seguente, questo significa che se il Dominio A ha una relazione di trust con il Dominio B e il Dominio B ha una relazione di trust con il Dominio C, gli utenti del Dominio C possono accedere alle risorse del Dominio A (quando dispongano delle autorizzazioni corrette). Solo i membri del gruppo Domain Admins possono gestire le relazioni di trust.

Trust transitivi in un albero di dominio

Protocolli di trust

Un controller di dominio in cui è in esecuzione Windows Server 2008 o Windows Server 2008 R2 esegue l'autenticazione di utenti e applicazioni utilizzando uno dei due protocolli seguenti: il protocollo Kerberos versione 5 (V5) o NTLM. Il protocollo Kerberos V5 è il protocollo predefinito per i computer che eseguono Windows 2000, Windows XP Professional, Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2. Se un computer in una transazione non supporta il protocollo Kerberos V5, viene utilizzato il protocollo NTLM.

Con il protocollo Kerberos V5, il client richiede un ticket da un controller di dominio nel proprio dominio account al server nel dominio trusting. Questo ticket viene rilasciato da un intermediario trusted dal client e dal server. Il client presenta questo ticket trusted al server nel dominio trusting per l'autenticazione. Per ulteriori informazioni, visitare la pagina relativa all'autenticazione Kerberos V5 (http://go.microsoft.com/fwlink/?LinkId=81795).

Quando un client tenta di accedere alle risorse su un server in un altro dominio utilizzando l'autenticazione NTLM, il server cui appartiene la risorsa deve contattare un controller di dominio nel dominio dell'account del cliente per verificare le credenziali dell'account.

Oggetti dominio trusted

Gli oggetti dominio trusted (TDO) sono oggetti che rappresentano ogni relazione di trust in un particolare dominio. Ogni volta che viene creato un trust, un TDO univoco viene creato e archiviato nel relativo dominio (nel contenitore del file system). Attributi quali la transitività dei trust, il tipo e i nomi di dominio reciproci sono rappresentanti nel TDO.

Nei TDO dei trust tra foreste sono archiviati attributi aggiuntivi per identificare tutti gli spazi dei nomi trusted dalla foresta del partner. Questi attributi includono nomi di alberi di dominio, suffissi di nome dell'entità utente (UPN), suffissi di nome principale di servizio (SPN) e spazi dei nomi degli ID di sicurezza (SID).

Per ulteriori informazioni su trust tra domini, vedere la pagina relativa alle tecnologie di trust (http://go.microsoft.com/fwlink/?LinkId=92695). Per ulteriori informazioni sulle relazioni di stampa, vedere la pagina relativa alla definizione di una strategia di autorizzazione alle risorse (http://go.microsoft.com/fwlink/?LinkId=92696).

Ulteriori riferimenti

  • Gestire trust


Informazioni sui tipi di trust

Tipi di trust

È possibile utilizzare Creazione guidata nuova relazione trust o lo strumento da riga di comando Netdom per creare quattro tipi di trust: trust esterni, trust area di autenticazione, trust tra foreste e trust di collegamento. Nella tabella seguente vengono descritti tali tipi.

Tipo di trust | Transitività | Direzione | Descrizione
Esterno | Non transitivo | Unidirezionale o bidirezionale | I trust esterni consentono di offrire accesso alle risorse che si trovano su un dominio Windows NT 4.0 o su un dominio in una foresta separata che non fa parte di un trust tra foreste. Per ulteriori informazioni, vedere Informazioni sulla creazione di un trust esterno.
Area di autenticazione | Transitivo o non transitivo | Unidirezionale o bidirezionale | Utilizzare i trust tra aree di autenticazione per formare una relazione di trust tra un'area di autenticazione Kerberos non Windows e un dominio Windows Server 2008 o Windows Server 2008 R2. Per ulteriori informazioni, vedere Informazioni sulla creazione di un trust area di autenticazione.
Foresta | Transitivo | Unidirezionale o bidirezionale | Utilizzare i trust tra foreste per condividere risorse tra le foreste. Se un trust tra foreste è bidirezionale, le richieste di autenticazione eseguite in una foresta possono raggiungere l'altra. Per ulteriori informazioni, vedere Informazioni sulla creazione di un trust tra foreste.
Collegamento | Transitivo | Unidirezionale o bidirezionale | Utilizzare i trust di collegamento per ridurre i tempi di accesso degli utenti tra due domini in una foresta Windows Server 2008 o Windows Server 2008 R2. È utile quando due domini sono separati da due alberi di dominio. Per ulteriori informazioni, vedere Informazioni sulla creazione di un trust di collegamento.

Quando si creano trust esterni, trust di collegamento, trust area di autenticazione o trust tra foreste, è possibile creare ogni parte del trust separatamente o entrambe le parti contemporaneamente.

Se si sceglie di creare ogni parte del trust separatamente, è necessario eseguire la Creazione guidata nuova relazione trust due volte, una per ogni dominio. Quando si creano i trust utilizzando questa modalità, è necessario specificare la stessa password di trust per ogni dominio. Per una sicurezza ottimale, tutte le password di trust devono essere complesse. Per ulteriori informazioni, vedere la pagina relativa alle password complesse (http://go.microsoft.com/fwlink/?linkid=92697).

Se si sceglie di creare entrambe le parti del trust contemporaneamente, è necessario eseguire la Creazione guidata nuova relazione di trust solo una volta. Quando si sceglie questa opzione, una password di trust complessa viene generata automaticamente. È necessario disporre delle credenziali amministrative appropriate per i domini tra i quali si crea il trust.

Per ulteriori informazioni sui trust, vedere Informazioni sulla transitività dei trust e Informazioni sulla direzione dei trust.

Ulteriori riferimenti

  • Gestire trust


Informazioni sulla direzione dei trust

Direzione del trust

Il tipo di trust e la direzione a esso assegnata influenzano il percorso di trust utilizzato per l'autenticazione. Un percorso di trust è una serie di relazioni di trust che le richieste di autenticazione devono seguire tra i domini. Affinché un utente possa accedere a una risorsa in un altro dominio, il sistema di sicurezza nei controller di dominio che eseguono Windows Server 2008 o Windows Server 2008 R2 deve determinare se il dominio trusting (il dominio che include la risorsa a cui l'utente tenta di accedere) ha una relazione di trust con il dominio trusted (il dominio di accesso dell'utente). A questo scopo, il sistema di sicurezza calcola il percorso di trust tra un controller di dominio nel dominio trusting e un controller di dominio nel dominio trusted. Nella figura seguente il percorso di trust è indicato da una freccia che mostra la direzione del trust.

Direzione del percorso di trust

Tutte le relazioni di trust tra domini includono solo due domini: il dominio trusting e il dominio trusted.

Trust unidirezionale

Un trust unidirezionale è un percorso di autenticazione unidirezionale creato tra due domini. Questo significa che, in un trust unidirezionale tra Dominio A e Dominio B, gli utenti nel Dominio A possono accedere alle risorse nel Dominio B. Tuttavia, gli utenti nel Dominio B non possono accedere alle risorse nel Dominio A. Alcuni trust unidirezionali possono essere trust non transitivi o transitivi, in base al tipo di trust creato. Per ulteriori informazioni sui tipi di trust, vedere Informazioni sui tipi di trust.

Trust bidirezionali

Tutti i trust tra domini in una foresta Windows Server 2008 o Windows Server 2008 R2 sono bidirezionali e transitivi. Quando si crea un nuovo dominio figlio, viene automaticamente creata una relazione di trust transitiva bidirezionale tra il nuovo dominio figlio e il relativo dominio padre. In un trust bidirezionale, il Dominio A ha una relazione di trust con il Dominio B e il Dominio B ha una relazione di trust con il Dominio A. Questo significa che le richieste di autenticazione possono essere trasmesse tra i due domini in entrambe le direzioni. Alcune relazioni bidirezionali possono essere non transitive o transitive, in base al tipo di trust creato. Per ulteriori informazioni, vedere Informazioni sui tipi di trust.

Un dominio Windows Server 2008 o Windows Server 2008 R2 può stabilire trust unidirezionali o bidirezionali con i domini e le aree di autenticazione seguenti:

  • Domini Windows Server 2008 o Windows Server 2008 R2 nella stessa foresta

  • Domini Windows Server 2008 o Windows Server 2008 R2 in una foresta diversa

  • Domini Windows Server 2003 nella stessa foresta

  • Domini Windows Server 2003 in una foresta diversa

  • Domini Windows NT 4.0

  • Aree di autenticazione Kerberos versione 5 (V5)

Per ulteriori informazioni sul protocollo Kerberos V5, vedere la pagina relativa (http://go.microsoft.com/fwlink/?LinkId=92699).

Ulteriori riferimenti

  • Gestire trust


Informazioni sulla transitività dei trust

Transitività dei trust

La transitività determina se un trust può essere esteso all'esterno dei due domini tra i quali è stato creato. È possibile utilizzare un trust transitivo per estendere le relazioni di trust ad altri domini. È possibile utilizzare un trust non transitivo per impedire le relazioni di trust con altri domini.

Trust transitivo

Ogni volta che si crea un nuovo dominio in una foresta, una relazione di trust transitiva bidirezionale viene automaticamente creata tra il nuovo dominio e il relativo dominio padre. Se domini figlio vengono aggiunti al nuovo dominio, il percorso di trust si muove verso l'alto nella gerarchia dei domini, estendendo il percorso di trust iniziale creato tra il nuovo dominio e il relativo dominio padre.

Le relazioni di trust transitive si muovono verso l'alto all'interno di un albero di dominio man mano che esso viene creato, creando trust transitivi tra tutti i domini nell'albero di dominio.

Le richieste di autenticazione seguono questi percorsi di trust. Per tale motivo, gli account da qualsiasi dominio nella foresta possono essere autenticati in qualsiasi altro dominio nella foresta. Con un singolo processo di accesso, gli account con le autorizzazioni adeguate possono accedere alle risorse in qualsiasi dominio nella foresta.

Oltre ai trust transitivi predefiniti creati in una foresta Windows Server 2008 o Windows Server 2008 R2, utilizzando la Creazione guidata nuova relazione trust è possibile creare manualmente i trust transitivi seguenti:

  • Trust di collegamento: Un trust transitivo tra un dominio nello stesso albero di dominio o foresta che abbrevia il percorso di trust in un albero di dominio o foresta ampia e complessa.

  • Trust tra foreste: Un trust transitivo tra una dominio radice della foresta e un secondo dominio radice della foresta.

  • Trust area di autenticazione: Un trust transitivo tra un dominio Active Directory e un'area di autenticazione Kerberos V5. Per ulteriori informazioni sulle aree di autenticazione Kerberos V5, vedere la pagina relativa all'autenticazione Kerberos V5 (http://go.microsoft.com/fwlink/?LinkId=92699).

Nella figura seguente viene visualizzata una relazione di trust transitiva bidirezionale tra l'albero di dominio A e l'albero di dominio 1. Tutti i domini nell'albero di dominio A e tutti i domini nell'albero di dominio 1 hanno relazioni di trust transitive per impostazione predefinita. Come risultato, gli utenti nell'albero di dominio A possono accedere alle risorse dei domini nell'albero di dominio 1 e gli utenti nell'albero di dominio 1 possono accedere alle risorse nell'albero di Dominio A, quando le autorizzazioni corrette sono assegnate a livello di risorsa.

Un percorso di trust bidirezionale transitivo collega i domini

Per ulteriori informazioni sui tipi di trust, vedere Informazioni sui tipi di trust.

Trust non transitivo

Un trust non transitivo è limitato ai due domini nella relazione di trust. Non si trasmette a eventuali altri domini nella foresta. Un trust non transitivo può essere bidirezionale o unidirezionale. I trust non transitivi sono unidirezionali per impostazione predefinita, sebbene sia possibile creare una relazione bidirezionale anche creando due trust unidirezionali.

In sintesi, i trust tra domini non transitivi sono l'unica forma di relazione di trust possibile tra gli elementi seguenti:

  • Un dominio Windows Server 2008 o Windows Server 2008 R2 e un dominio Windows NT

  • Un dominio Windows Server 2008 o Windows Server 2008 R2 in una foresta e un dominio in un'altra foresta (quando le foreste non sono unite da un trust tra foreste)

È possibile utilizzare la Creazione guidata nuova relazione trust per creare manualmente i trust non transitivi seguenti:

  • Trust esterno: Un trust non transitivo tra un dominio Windows Server 2008 o Windows Server 2008 R2 e un dominio Windows NT o un dominio Windows 2000, Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2 in un'altra foresta.

  • Trust area di autenticazione: Un trust non transitivo tra un dominio Active Directory e un'area di autenticazione Kerberos versione 5 (V5). Per ulteriori informazioni sulle aree di autenticazione Kerberos V5, vedere la pagina relativa all'autenticazione Kerberos V5 (http://go.microsoft.com/fwlink/?LinkId=92699).

Per ulteriori informazioni sui tipi di trust, vedere Informazioni sui tipi di trust.

Ulteriori riferimenti

  • Gestire trust


Informazioni sulla creazione di un trust esterno

Quando creare un trust esterno

È possibile creare un trust esterno per stabilire un trust unidirezionale o bidirezionale non transitivo con domini esterni alla foresta. I trust esterni possono essere necessari quando gli utenti devono accedere a risorse che si trovano su un dominio Windows NT 4.0 o su un dominio in una foresta separata che non fa parte di una trust tra foreste, come illustrato nella figura seguente.

Quando si definisce un trust tra un dominio in una foresta specifica e un dominio esterno a essa, le entità di sicurezza del dominio esterno possono accedere alle risorse nel dominio interno. Servizi di dominio Active Directory crea un oggetto entità di sicurezza esterno nel dominio interno per rappresentare tutte le entità di sicurezza dal dominio esterno trusted. Queste entità di sicurezza esterne possono diventare membri dei gruppi locali di dominio nel dominio interno. I gruppi locali di dominio possono includere membri da domini esterni alla foresta.

Gli oggetti directory per le entità di sicurezza della foresta sono creati da AD DS e non devono essere modificati manualmente. È possibile visualizzare gli oggetti entità di sicurezza della foresta nello snap-in Utenti e computer di Active Directory abilitando le funzionalità avanzate. Scegliere Caratteristiche avanzate dal menu Visualizza.

Per ulteriori informazioni sulla creazione di un trust esterno, vedere Creare un trust esterno.

Ulteriori riferimenti

  • Gestire trust


Informazioni sulla creazione di un trust di collegamento

Quando creare un trust di collegamento

I trust di collegamento sono unidirezionali o bidirezionali. Si tratta di trust transitivi utilizzabili dagli amministratori per ottimizzare il processo di autenticazione.

È necessario che le richieste di autenticazione seguano anzitutto un percorso di trust tra alberi di dominio. In una foresta complessa questo può richiedere tempo, che è possibile ridurre mediante trust di collegamento. Un percorso di trust è una serie di relazioni di trust tra domini che le richieste di autenticazione devono attraversare tra qualsiasi coppia di domini. I trust di collegamento riducono notevolmente il percorso che le richieste di autenticazione devono seguire tra domini situati su due alberi di dominio separati. Per ulteriori informazioni sui percorsi di trust, vedere Informazioni sulla direzione dei trust.

I trust di collegamento sono necessari quando molti utenti in un dominio accedono con regolarità ad altri domini in una foresta. Utilizzando la figura seguente come esempio, è possibile creare un trust di collegamento tra il dominio B e il dominio D, tra il dominio A e il dominio 1 e così via.

Trust di collegamento in una foresta

Per ulteriori informazioni su come creare un trust di collegamento, vedere Creare un trust di collegamento.

Utilizzare i trust unidirezionali

Un trust di collegamento unidirezionale creato tra due domini in alberi di dominio separati può ridurre il tempo necessario al completamento delle richieste di autenticazione, ma solo in una direzione. Ad esempio, quando un trust di collegamento unidirezionale viene definito tra il dominio A e il dominio B, le richieste di autenticazione eseguite nel dominio A verso il dominio B possono utilizzare il nuovo percorso di trust unidirezionale. Tuttavia, le richieste di autenticazione eseguite nel dominio B verso il dominio A devono comunque seguire il percorso di trust più lungo.

Utilizzare i trust bidirezionali

Un trust di collegamento bidirezionale creato tra due domini in alberi di dominio separati riduce il tempo necessario al completamento delle richieste di autenticazione provenienti da uno dei due domini. Ad esempio, quando un trust di collegamento bidirezionale viene definito tra il dominio A e il dominio B, le richieste di autenticazione eseguite in uno dei due domini verso l'altro possono utilizzare il nuovo percorso di trust bidirezionale.

Ulteriori riferimenti

  • Gestire trust


Informazioni sulla creazione di un trust area di autenticazione

Quando creare un trust area di autenticazione

È possibile creare un trust tra aree di autenticazione tra qualsiasi area di autenticazione Kerberos versione 5 (v5) non Windows e un dominio Windows Server 2008 o Windows Server 2008 R2. Questa relazione di trust consente l'interoperabilità multipiattaforma con servizi di sicurezza basati su altre versioni del protocollo Kerberos V5, ad esempio implementazioni UNIX e MIT. I trust area di autenticazione possono passare da non transitivo a transitivo e viceversa. I trust area di autenticazione possono inoltre essere unidirezionali o bidirezionali.

Per informazioni su come creare un trust area di autenticazione, vedere Creare un trust area di autenticazione.

Ulteriori riferimenti

  • Gestire trust


Creare un trust di collegamento

È possibile utilizzare lo snap-in Domini e trust di Active Directory per creare trust di collegamento.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare un trust di collegamento

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando
Per creare un trust di collegamento tramite l'interfaccia di Windows

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nodo del dominio con il quale si desidera creare un trust di collegamento e quindi scegliere Proprietà.

  3. Nella scheda Trust fare clic su Nuova relazione di trust e quindi fare clic su Avanti.

  4. Nella pagina Nome trust digitare il nome DNS (Domain Name System) o il nome NetBIOS del dominio e quindi fare clic su Avanti.

  5. Nella pagina Direzione del trust eseguire una delle operazioni seguenti:

    • Per creare un trust di collegamento bidirezionale, fare clic su Bidirezionale.

      Gli utenti nel dominio corrente e gli utenti nel dominio specificato saranno in grado di utilizzare questo percorso di trust.

    • Per creare un trust di collegamento unidirezionale in ingresso, fare clic su Unidirezionale: in ingresso.

      Gli utenti nel dominio specificato non saranno in grado di utilizzare questo percorso di trust.

    • Per creare un trust di collegamento unidirezionale in uscita, fare clic su Unidirezionale: in uscita.

      Gli utenti nel dominio corrente non saranno in grado di utilizzare questo percorso di trust.

  6. Continuare a seguire le istruzioni della procedura guidata.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Se si dispone delle corrette credenziali amministrative per tutti i domini, è possibile creare entrambe le parti di un trust di collegamento contemporaneamente, facendo clic su Questo dominio e il dominio specificato nella pagina Parti del trust.

Ulteriori riferimenti

  • Gestire trust

Per creare un trust di collegamento tramite riga di comando

  1. Aprire un prompt dei comandi. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /add

Parametro | Descrizione
netdom trust | Gestisce o verifica la relazione di trust tra i domini.
<TrustingDomainName> | Specifica il nome DNS (o nome NetBIOS) del dominio trusting in fase di creazione.
/d: | Consente di specificare che il nome di dominio DNS che segue si riferisce a un dominio trusted.
<TrustedDomainName> | Specifica il nome DNS (o nome NetBIOS) del dominio che sarà il dominio trusted all'interno del trust in fase di creazione.
/add | Consente di specificare che deve essere creato un trust.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

netdom trust | more

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico. È possibile verificare i trust di collegamento, i trust esterni e i trust tra foreste, ma non i trust area di autenticazione.

  • È possibile utilizzare altri parametri per assegnare una password o determinare la direzione del trust. Ad esempio, per rendere bidirezionale e transitivo il trust nella procedura corrente, utilizzare la sintassi seguente:

    netdom trust <TrustingDomainName> /d: <TrustedDomainName> /add /twoway

Ulteriori riferimenti

  • Gestire trust


Creare un trust esterno

È possibile utilizzare lo snap-in Domini e trust di Active Directory per creare trust esterni.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare un trust esterno

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando
Per creare un trust esterno tramite l'interfaccia di Windows

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nodo del dominio con il quale si desidera creare una relazione di trust e quindi scegliere Proprietà.

  3. Nella scheda Trust fare clic su Nuova relazione di trust e quindi su Avanti.

  4. Nella pagina Nome trust digitare il nome DNS (Domain Name System) o il nome NetBIOS del dominio e quindi fare clic su Avanti.

  5. Nella pagina Tipo di trust fare clic su Trust esterno e quindi su Avanti.

  6. Nella pagina Direzione del trust eseguire una delle operazioni seguenti:

    • Per creare un trust esterno bidirezionale, fare clic su Bidirezionale.

      Gli utenti nel dominio corrente e gli utenti nel dominio specificato saranno in grado di accedere alle risorse di entrambi i domini.

    • Per creare un trust esterno unidirezionale in ingresso, fare clic su Unidirezionale: in ingresso.

      Gli utenti nel dominio specificato non saranno in grado di accedere alle risorse del dominio.

    • Per creare un trust esterno unidirezionale in uscita, fare clic su Unidirezionale: in uscita.

      Gli utenti nel dominio corrente non saranno in grado di accedere alle risorse del dominio specificato.

  7. Continuare a seguire le istruzioni della procedura guidata.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Se si dispone delle corrette credenziali amministrative per tutti i domini, è possibile creare entrambe le parti di un trust esterno contemporaneamente, facendo clic su Questo dominio e il dominio specificato nella pagina Parti del trust.

  • Se si desidera consentire agli utenti del dominio specificato di accedere a tutte le risorse del dominio, fare clic su Consenti autenticazione per tutte le risorse nella pagina Proprietà trust in uscita. Utilizzare questa opzione quando entrambi i domini appartengono alla stessa organizzazione.

  • Se si desidera limitare l'accesso alle risorse del dominio per gli utenti del dominio specificato, fare clic sull'opzione per consentire l'autenticazione solo per le risorse specificate nel dominio locale nella pagina Proprietà trust in uscita. Utilizzare questa opzione quando ogni dominio appartiene a una diversa organizzazione.

Ulteriori riferimenti

  • Gestire trust

Per creare un trust esterno tramite riga di comando

  1. Aprire un prompt dei comandi. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /add

Parametro | Descrizione
netdom trust | Gestisce o verifica la relazione di trust tra i domini.
<TrustingDomainName> | Specifica il nome DNS (o nome NetBIOS) del dominio trusting in fase di creazione.
/d: | Consente di specificare che il nome di dominio DNS che segue si riferisce a un dominio trusted.
<TrustedDomainName> | Specifica il nome DNS (o nome NetBIOS) del dominio che sarà trusted all'interno del trust in fase di creazione.
/add | Consente di specificare che deve essere creato un trust.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

netdom trust | more

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico. È possibile verificare i trust di collegamento, i trust esterni e i trust tra foreste, ma non i trust area di autenticazione.

  • È possibile utilizzare altri parametri per assegnare una password o determinare la direzione del trust. Ad esempio, per creare un trust bidirezionale e transitivo, utilizzare la sintassi seguente:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /add /twoway

Ulteriori riferimenti

  • Gestire trust


Creare un trust area di autenticazione

È possibile utilizzare lo snap-in Domini e trust di Active Directory per creare trust tra aree di autenticazione.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Creare un trust area di autenticazione

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando
Per creare un trust area di autenticazione tramite l'interfaccia di Windows

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul dominio che si desidera gestire e quindi scegliere Proprietà.

  3. Nella scheda Trust fare clic su Nuova relazione di trust e quindi su Avanti.

  4. Nella pagina Nome trust digitare il nome dell'area autenticazione di destinazione e quindi fare clic su Avanti.

  5. Nella pagina Tipo di trust selezionare l'opzione Trust area di autenticazione e quindi fare clic su Avanti.

  6. Nella pagina Transitività del trust eseguire una delle operazioni seguenti:

    • Per creare una relazione di trust con il dominio e l'area di autenticazione specificata, fare clic su Non transitivo e quindi su Avanti.

    • Per creare una relazione di trust con il dominio e l'area di autenticazione specificata e tutte le aree di autenticazione trusted, fare clic su Transitivo e quindi su Avanti.

  7. Nella pagina Direzione del trust eseguire una delle operazioni seguenti:

    • Per creare un trust area di autenticazione bidirezionale, fare clic su Bidirezionale.

      Gli utenti nel dominio corrente e gli utenti nell'area di autenticazione specificata saranno in grado di accedere alle risorse del dominio e dell'area di autenticazione.

    • Per creare un trust area di autenticazione unidirezionale in ingresso, fare clic su Unidirezionale: in ingresso.

      Gli utenti nell'area di autenticazione specificata non saranno in grado di accedere alla risorse del dominio.

    • Per creare un trust area di autenticazione unidirezionale in uscita, fare clic su Unidirezionale: in uscita.

      Gli utenti nel dominio corrente non saranno in grado di accedere alle risorse dell'area di autenticazione specificata.

  8. Continuare a seguire le istruzioni della procedura guidata.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

Ulteriori riferimenti

  • Gestire trust

Per creare un trust area di autenticazione tramite riga di comando

  1. Aprire un prompt dei comandi. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /add /realm /PasswordT:<NewRealmTrustPassword>

Parametro | Descrizione
netdom trust | Gestisce o verifica le relazioni di trust tra i domini.
<TrustingDomainName> | Specifica il nome DNS del dominio trusting nel nuovo trust area di autenticazione.
/d: | Consente di specificare che il nome di dominio DNS che segue si riferisce a un dominio trusted.
<TrustedDomainName> | Specifica il nome DNS del dominio che sarà trusted nel nuovo trust area di autenticazione.
/add | Consente di specificare che deve essere creato un trust.
/realm | Indica che il trust verrà creato in un'area di autenticazione Kerberos non Windows.
/PasswordT: | Specifica la nuova password del trust. Questo parametro è valido solo se uno dei domini specificati è un'area di autenticazione Kerberos non Windows.
<NewRealmTrustPassword> | Specifica la password del trust per il nuovo trust area di autenticazione. Questa password deve corrispondere alla password utilizzata nell'area di autenticazione Kerberos.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

netdom trust | more

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico. È possibile verificare i trust di collegamento, i trust esterni e i trust tra foreste, ma non i trust area di autenticazione.

  • È possibile utilizzare altri parametri per assegnare una password o determinare la direzione del trust. Ad esempio, per rendere il trust precedente bidirezionale e transitivo, utilizzare la sintassi seguente:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /add /realm /twoway

Ulteriori riferimenti

  • Gestire trust


Verificare un trust

È possibile utilizzare lo snap-in Domini e trust di Active Directory per verificare se un trust di collegamento, esterno e tra foreste appena aggiunto è stato creato correttamente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Verificare un trust

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando
Per verificare un trust tramite l'interfaccia di Windows

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul trust che si desidera verificare e quindi scegliere Proprietà.

  3. Nella scheda Trust, in Domini trusted di questo dominio (trust in uscita) o Domini trusting di questo dominio (trust in ingresso), fare clic sul trust da verificare e quindi su Proprietà.

  4. Fare clic su Convalida.

  5. Eseguire una delle operazioni seguenti e quindi fare clic su OK:

    • Fare clic su No, non convalidare il trust in ingresso.

      Se si seleziona questa opzione, è consigliabile ripetere la procedura per il dominio reciproco.

    • Fare clic su Sì, convalida il trust in ingresso.

      Se si seleziona questa opzione, è necessario digitare un account utente e una password con credenziali amministrative per il dominio reciproco.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • È possibile verificare i trust di collegamento, i trust esterni e i trust tra foreste, ma non i trust area di autenticazione.

Ulteriori riferimenti

  • Gestire trust

Per verificare un trust tramite riga di comando

  1. Aprire un prompt dei comandi. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /verify

Parametro | Descrizione
netdom trust | Gestisce o verifica la relazione di trust tra i domini.
<TrustingDomainName> | Specifica il nome DNS del dominio trusting nel trust in fase di verifica.
/d: | Specifica che il nome di dominio DNS che segue si riferisce al dominio trusted.
<TrustedDomainName> | Specifica il nome DNS del dominio trusted nel trust in fase di verifica.
/verify | Verifica che il trust funzioni correttamente.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

netdom trust | more

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile inoltre utilizzare l'opzione Esegui come. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo dell'opzione Esegui come in Guida e supporto tecnico.

  • È possibile verificare i trust di collegamento, i trust esterni e i trust tra foreste, ma non i trust area di autenticazione.

Ulteriori riferimenti

  • Gestire trust


Rimuovere un trust

È possibile utilizzare lo snap-in Domini e trust di Active Directory per rimuovere trust.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Rimuovere un trust

  • Tramite l'interfaccia di Windows

  • Tramite una riga di comando
Per rimuovere un trust tramite l'interfaccia di Windows

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul dominio che include il trust da rimuovere e quindi scegliere Proprietà.

  3. Nella scheda Trust, in Domini trusted di questo dominio (trust in uscita) o Domini trusting di questo dominio (trust in ingresso), fare clic sul trust da rimuovere e quindi su Rimuovi.

  4. Eseguire una delle operazioni seguenti e quindi fare clic su OK:

    • Fare clic su No, rimuovi il trust soltanto dal dominio locale.

      Se si seleziona questa opzione, è consigliabile ripetere la procedura per il dominio reciproco.

    • Fare clic su Sì, rimuovi il trust dal dominio locale e dall'altro dominio.

      Se si seleziona questa opzione, è necessario digitare un account utente e una password con credenziali amministrative per il dominio reciproco.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Non è possibile revocare il trust transitivo bidirezionale predefinito tra domini in una foresta. È possibile eliminare i trust di collegamento creati esplicitamente.

Ulteriori riferimenti

  • Gestire trust

Per rimuovere un trust tramite riga di comando

  1. Aprire un prompt dei comandi. Per aprire un prompt dei comandi, fare clic sul pulsante Start, scegliere Esegui, digitare cmd e quindi fare clic su OK.

  2. Digitare il comando seguente e quindi premere INVIO:

    netdom trust <TrustingDomainName> /d:<TrustedDomainName> /remove /UserD:<User> /PasswordD:*<Password>

Parametro | Descrizione
netdom trust | Gestisce o verifica le relazioni di trust tra i domini.
<TrustingDomainName> | Specifica il nome DNS del dominio trusting nel trust in fase di rimozione.
/d: | Consente di specificare che il nome di dominio DNS che segue si riferisce a un dominio trusted.
<TrustedDomainName> | Specifica il nome DNS del dominio trusted nel trust in fase di rimozione.
/remove | Specifica che deve essere rimosso un trust.
<User> | Specifica l'account utente con credenziali amministrative per il dominio reciproco.
/UserD: | Specifica l'account utente utilizzato per eseguire la connessione con il dominio trusted.
/PasswordD:* | Password dell'account utente specificato da /UserD.
<Password> | Specifica la password per l'account utente con credenziali amministrative per il dominio reciproco.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

netdom trust | more

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico. È possibile verificare i trust di collegamento, i trust esterni e i trust tra foreste, ma non i trust area di autenticazione.

Ulteriori riferimenti

  • Gestire trust


Selezionare l'ambito di autenticazione per gli utenti

È possibile utilizzare lo snap-in Domini e trust di Active Directory per specificare l'ambito di autenticazione per gli utenti che eseguono l'autenticazione tramite trust esterni o trust tra foreste.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per selezionare l'ambito di autenticazione tramite l'interfaccia di Windows

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nodo del dominio che si desidera amministrare e quindi scegliere Proprietà.

  3. Nella scheda Trust, in Domini trusted di questo dominio (trust in uscita) o Domini trusting di questo dominio (trust in ingresso), eseguire una delle operazioni seguenti:

    • Per selezionare l'ambito di autenticazione per gli utenti che eseguono l'autenticazione tramite un trust esterno, fare clic sul trust esterno che si desidera gestire e quindi fare clic su Proprietà. Nella scheda Autenticazione fare clic su Autenticazione estesa a tutto il dominio o su Autenticazione selettiva.

    • Per selezionare l'ambito di autenticazione per gli utenti che eseguono l'autenticazione tramite un trust tra foreste, fare clic sul trust tra foreste che si desidera gestire e quindi fare clic su Proprietà. Nella scheda Autenticazione fare clic su Autenticazione estesa a tutta la foresta o su Autenticazione selettiva.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Per un trust esterno, se si seleziona Autenticazione selettiva, è necessario abilitare manualmente le autorizzazioni sul dominio locale e sulla risorsa a cui si desidera abbiano accesso gli utenti nel dominio esterno.

  • Per un trust tra foreste, se si seleziona Autenticazione selettiva, è necessario abilitare manualmente le autorizzazioni su ogni dominio e risorsa nella foresta locale cui si desidera abbiano accesso gli utenti nella seconda foresta.

  • È possibile utilizzare l'autenticazione selettiva solo su trust esterni e trust tra foreste.

Ulteriori riferimenti

  • Gestire trust


Gestire i trust tra foreste

Utenti e computer di Active Directory può essere utilizzato per gestire trust tra foreste.

  • Informazioni sulla creazione di un trust tra foreste

  • Elenco di controllo: creare un trust tra foreste

  • Creare un trust tra foreste

  • Modificare lo stato del routing di un suffisso di nome

  • Attivare o disattivare un suffisso di nome esistente dal routing

  • Escludere i suffissi di nome dal routing a una foresta locale


Informazioni sulla creazione di un trust tra foreste

Quando creare un trust tra foreste

È possibile creare un trust tra foreste solo tra un dominio radice della foresta in una foresta Windows Server 2008 o Windows Server 2008 R2 e un dominio radice della foresta in un'altra foresta Windows Server 2008 o Windows Server 2008 R2. La creazione di una trust tra foreste tra due foreste Windows Server 2008 o Windows Server 2008 R2 offre una relazione di trust transitiva, unidirezionale o bidirezionale, tra tutti i domini che si trovano in ogni foresta. I trust tra foreste sono utili per gli application service provider, le organizzazioni che devono affrontare fusioni o acquisizioni, le extranet aziendali collaborative e le organizzazioni alla ricerca di una soluzione che offra autonomia amministrativa.

Per ulteriori informazioni sulla creazione di trust tra foreste, vedere Creare un trust tra foreste.

Utilizzare i trust tra foreste unidirezionali

Un trust tra foreste unidirezionale tra due foreste consente ai membri della foresta trusted di utilizzare le risorse che si trovano nella foresta trusting. Tuttavia, il trust funziona in una sola direzione. Ad esempio, quando un trust tra foreste unidirezionale viene creato tra la foresta A (la foresta trusted) e la foresta B (la foresta trusting), i membri della foresta A possono accedere alle risorse nella foresta B, ma i membri della foresta B non possono accedere alle risorse nella foresta A, utilizzando lo stesso trust.

Utilizzare i trust tra foreste bidirezionali

Un trust tra foreste bidirezionale tra due foreste consente ai membri di entrambe le foreste di utilizzare le risorse che si trovano nell'altra foresta e crea una relazione di trust tra i domini in ogni foresta con i domini nell'altra. Ad esempio, quando un trust tra foreste bidirezionale viene creato tra la foresta A e la foresta B, i membri della foresta A possono accedere alle risorse nella foresta B e i membri della foresta B possono accedere alle risorse nella foresta A, utilizzando lo stesso trust.

Ulteriori riferimenti

  • Gestire trust


Elenco di controllo: creare un trust tra foreste

Prima che sia possibile creare trust tra foreste tra i domini, è importante verificare che il server Domain Name System (DNS) nell'ambiente sia impostato correttamente e configurato per accettare future relazioni di trust. Completare le attività dell'elenco di controllo nell'ordine indicato. In presenza di un collegamento di riferimento a un argomento concettuale, dopo aver consultato quest'ultimo tornare all'argomento corrente, in modo da poter continuare con le attività rimanenti nell'elenco di controllo.

Attività Riferimento
  • Verificare che il DNS sia impostato correttamente.

  • Verificare una delega di zone utilizzando il comando nslookup (http://go.microsoft.com/fwlink/?LinkId=92715).

  • Se è presente un server radice DNS che può essere il server radice DNS per gli spazi dei nomi DNS della foresta, impostarlo come server radice verificando che la zona radice includa deleghe per tutti gli spazi dei nomi DNS. Inoltre, aggiornare i parametri radice di tutti i server DNS con il nuovo server radice DNS.

  • Aggiornare i parametri radice sul server DNS (http://go.microsoft.com/fwlink/?LinkId=92717).

  • Se non sono presenti server DNS radice condivisi e nei server DNS radice per ogni spazio dei nomi DNS della foresta è in esecuzione un sistema operativo Windows Server 2008 o Windows Server 2008 R2, configurare i server d'inoltro condizionali DNS in ogni spazio dei nomi DNS per instradare le query relative ai nomi nell'altro spazio dei nomi.
  • Configurare i server di inoltro condizionali DNS (http://go.microsoft.com/fwlink/?LinkId=92718).

  • Se non sono presenti server DNS radice condivisi e nei server DNS radice per ogni spazio dei nomi DNS della foresta è in esecuzione un sistema operativo Windows Server 2008 o Windows Server 2008 R2, configurare le zone secondarie DNS in ogni spazio dei nomi DNS per instradare le query relative ai nomi nell'altro spazio dei nomi.
  • Aggiungere un server secondario per una zona esistente (http://go.microsoft.com/fwlink/?LinkId=92719).

  • Creare il trust tra foreste.
  • Creare un trust tra foreste.


Creare un trust tra foreste

È possibile utilizzare lo snap-in Domini e trust di Active Directory per creare relazioni di trust tra domini.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare un trust tra foreste

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul gruppo che si desidera gestire e quindi scegliere Proprietà.

  3. Nella scheda Trust fare clic su Nuova relazione di trust e quindi su Avanti.

  4. Nella pagina Nome trust digitare il nome DNS (Domain Name System) o il nome NetBIOS del dominio e quindi fare clic su Avanti.

  5. Nella pagina Tipo di trust fare clic su Trust tra foreste e quindi su Avanti.

  6. Nella pagina Direzione del trust eseguire una delle operazioni seguenti:

    • Per creare un trust tra foreste bidirezionale, fare clic su Bidirezionale.

      Gli utenti nella foresta corrente e gli utenti nella foresta specificata saranno in grado di accedere alle risorse di entrambe le foreste.

    • Per creare un trust tra foreste unidirezionale in ingresso, fare clic su Unidirezionale: in ingresso.

      Gli utenti nella foresta specificata non saranno in grado di accedere alle risorse della foresta.

    • Per creare un trust tra foreste unidirezionale in uscita, fare clic su Unidirezionale: in uscita.

      Gli utenti nella foresta corrente non saranno in grado di accedere alle risorse della foresta specificata.

  7. Continuare a seguire le istruzioni della procedura guidata.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Se si dispone delle corrette credenziali amministrative per tutte le foreste, è possibile creare entrambe le parti di un trust tra foreste contemporaneamente, facendo clic su Questo dominio e il dominio specificato nella pagina Parti del trust.

  • Se si desidera che gli utenti della foresta specificata accedano a tutti i computer nella foresta locale, nella pagina Proprietà trust in uscita fare clic su Autenticazione estesa all'intera foresta. Questa opzione è consigliabile quando entrambe le foreste appartengono alla stessa organizzazione.

  • Se si desidera limitare in modo selettivo l'autenticazione a utenti e gruppi specifici della foresta specificata, nella pagina Proprietà trust in uscita fare clic su Autenticazione selettiva. Questa opzione è consigliabile se la foresta specificata appartiene a un'organizzazione separata.

  • Oltre a creare nuovi trust, è possibile modificare trust esistenti facendo clic sulla scheda Trust.

Ulteriori riferimenti

  • Gestire trust

  • Elenco di controllo: creare un trust tra foreste


Modificare lo stato del routing di un suffisso di nome

È possibile utilizzare lo snap-in Domini e trust di Active Directory per visualizzare e modificare lo stato del routing dei suffissi di nome.

Il routing del suffisso del nome è un meccanismo utilizzabile per gestire il routing delle richieste di autenticazione tra foreste Windows Server 2008 o Windows Server 2008 R2 unite da trust tra foreste. Per semplificare l'amministrazione delle richieste di autenticazione, quando si crea un trust tra foreste viene eseguito il routing di tutti i suffissi di nome univoci per impostazione predefinita. Un suffisso di nome univoco è un suffisso di nome in una foresta, ad esempio un suffisso di nome dell'entità utente (UPN), nome principale di servizio (SPN) o nome Domain Name System (DNS) di foresta o di albero di dominio non subordinato a un altro suffisso di nome.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per modificare lo stato del routing di un suffisso di nome

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nodo del dominio che si desidera amministrare e quindi scegliere Proprietà.

  3. In Domini trusted di questo dominio (trust in uscita) o Domini trusting di questo dominio (trust in ingresso) della scheda Trust fare clic sul trust tra foreste che si desidera amministrare e quindi fare clic su Proprietà.

  4. Nella scheda Routing suffisso nome, in Suffissi nome nella foresta x.x., fare clic sul suffisso del quale si desidera modificare lo stato del routing e quindi fare clic su Modifica.

  5. In Suffissi nome esistenti in x.x. fare clic sul suffisso che si desidera modificare e quindi fare clic su Abilita o Disabilita.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Se il computer fa parte di un dominio, i membri del gruppo Domain Admins potrebbero essere in grado di eseguire la procedura. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Non è possibile abilitare un suffisso di nome in conflitto. Se il conflitto è con un suffisso di nome UPN locale, è necessario rimuovere il suffisso di nome UPN locale prima che sia possibile abilitare il nome di routing. Se il conflitto è con un nome richiesto da un altro partner del trust, è necessario disattivare il nome nell'altro trust prima che sia possibile abilitarlo per il trust corrente.

  • Per visualizzare un registro dei suffissi di nome, dei nomi DNS, dei nomi NetBIOS e lo stato associato al trust corrente, fare clic su Salva con nome. Questo registro può facilitare la risoluzione dei problemi di autenticazione.

Ulteriori riferimenti

  • Gestire trust


Attivare o disattivare un suffisso di nome esistente dal routing

È possibile utilizzare lo snap-in Domini e trust di Active Directory per modificare il routing dei suffissi di nome esistenti.

Il routing del suffisso del nome è un meccanismo utilizzabile per gestire il routing delle richieste di autenticazione tra foreste Windows Server 2008 o Windows Server 2008 R2 unite da trust tra foreste. Per semplificare l'amministrazione delle richieste di autenticazione, quando si crea un trust tra foreste viene eseguito il routing di tutti i suffissi di nome univoci per impostazione predefinita. Un suffisso di nome univoco è un suffisso di nome in una foresta, ad esempio un suffisso di nome dell'entità utente (UPN), nome principale di servizio (SPN) o nome Domain Name System (DNS) di foresta o di albero di dominio non subordinato a un altro suffisso di nome.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per abilitare o disabilitare un suffisso di nome esistente dal routing

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nodo del dominio che si desidera amministrare e quindi scegliere Proprietà.

  3. In Domini trusted di questo dominio (trust in uscita) o Domini trusting di questo dominio (trust in ingresso) della scheda Trust fare clic sul trust tra foreste che si desidera amministrare e quindi fare clic su Proprietà.

  4. Fare clic sulla scheda Routing suffisso nome e in Suffissi di nome nella foresta x.x. eseguire una delle operazioni seguenti:

    • Per abilitare un suffisso di nome, fare clic sul suffisso che si desidera abilitare e quindi fare clic su Abilita. Se il pulsante Abilita è visualizzato in grigio, il suffisso di nome è già abilitato.

    • Per disabilitare un suffisso di nome, fare clic sul suffisso che si desidera disabilitare e quindi fare clic su Disabilita. Se il pulsante Disabilita è visualizzato in grigio, il suffisso di nome è già disabilitato.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Quando si disabilita un suffisso di nome, saranno disabilitati anche tutti gli elementi figlio di tale nome DNS.

  • Non è possibile abilitare un suffisso di nome in conflitto. Se il conflitto è con un suffisso di nome UPN locale, è necessario rimuovere il suffisso di nome UPN locale prima che sia possibile abilitare il nome di routing. Se il conflitto è con un nome richiesto da un altro partner del trust, è necessario disattivare il nome nell'altro trust prima che sia possibile abilitarlo per il trust corrente.

Ulteriori riferimenti

  • Gestire trust


Escludere i suffissi di nome dal routing a una foresta locale

È possibile utilizzare lo snap-in Domini e trust di Active Directory per escludere i suffissi di nome dal routing a una foresta locale.

Il routing del suffisso del nome è un meccanismo utilizzabile per gestire il routing delle richieste di autenticazione tra foreste Windows Server 2008 o Windows Server 2008 R2 unite da trust tra foreste. Per semplificare l'amministrazione delle richieste di autenticazione, quando si crea un trust tra foreste viene eseguito il routing di tutti i suffissi di nome univoci per impostazione predefinita. Un suffisso di nome univoco è un suffisso di nome in una foresta, ad esempio un suffisso di nome dell'entità utente (UPN), nome principale di servizio (SPN) o nome Domain Name System (DNS) di foresta o di albero di dominio non subordinato a un altro suffisso di nome.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Domain Admins o Enterprise Admins oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per escludere i suffissi di nome dal routing a una foresta locale

  1. Aprire Domini e trust di Active Directory. A tale scopo, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Domini e trust di Active Directory.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul nodo del dominio che si desidera amministrare e quindi scegliere Proprietà.

  3. In Domini trusted di questo dominio (trust in uscita) o Domini trusting di questo dominio (trust in ingresso) della scheda Trust fare clic sul trust tra foreste che si desidera amministrare e quindi fare clic su Proprietà.

  4. Fare clic sulla scheda Routing suffisso nome. In Suffissi nome nella foresta x.x. fare clic sul suffisso di nome univoco per il quale si desidera escludere lo stato del routing e quindi fare clic su Modifica.

  5. In Suffissi nome da escludere dal routing a x.x fare clic su Aggiungi, digitare un suffisso di nome subordinato al suffisso di nome univoco e quindi fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura, è necessario essere membri del gruppo Domain Admins o Enterprise Admins in Servizi di dominio Active Directory oppure disporre della delega per l'autorità appropriata. Per garantire un livello di sicurezza ottimale, è consigliabile utilizzare la funzione Esegui come per eseguire questa procedura. Per ulteriori informazioni, cercare gli argomenti relativi all'utilizzo di Esegui come in Guida e supporto tecnico.

  • Quando si esclude un suffisso di nome, saranno esclusi anche tutti gli elementi figlio di tale nome DNS.

  • Per visualizzare un registro dei suffissi di nome, dei nomi DNS, dei nomi NetBIOS e lo stato associato al trust corrente, fare clic su Salva con nome. Questo registro può facilitare la risoluzione dei problemi di autenticazione.

Ulteriori riferimenti

  • Gestire trust


Risolvere i problemi relativi a domini e trust di Active Directory.

In questa sezione vengono descritte alcune problematiche che possono verificarsi quando si utilizza Domini e trust di Active Directory per gestire domini e trust.

Problema riscontrato

  • I client non sono in grado di accedere alle risorse in un dominio esterno alla foresta.

  • Sono presenti errori relativi ai trust tra i server e le workstation.

  • Sono presenti errori relativi ai trust tra domini Windows NT 4.0 e domini di Active Directory.

I client non sono in grado di accedere alle risorse in un dominio esterno alla foresta.

Causa: Si è verificato un errore sul trust esterno tra i domini.

Soluzione: Reimpostare e verificare il trust tra i domini. Per reimpostare correttamente un trust, è necessario che il controller di dominio cui è attribuito il ruolo di master operazioni per l'emulazione PDC (noto anche come FSMO, Flexible Single Master Operation) sia disponibile.

Sono presenti errori relativi ai trust tra i server e le workstation.

Causa: La sincronizzazione dell'ora tra controller di dominio o workstation è errata, il server potrebbe essere inattivo, oppure la relazione di trust essere interrotta.

Soluzione: Eseguire lo strumento da riga di comando Netdom per verificare, reimpostare o creare il trust tra i computer. Questo strumento da riga di comando esegue la gestione batch dei trust, li verifica e protegge i canali tra i computer. Inoltre è in grado di unire computer a domini. Per ulteriori informazioni, vedere Verificare un trust.

Sono presenti errori di trust tra domini Windows NT 4.0 e domini di Active Directory.

Causa: Le reimpostazioni automatiche delle password di trust per il trust potrebbero non raggiungere il detentore del ruolo master dell'emulatore PDC.

Soluzione: Eseguire Netdom per verificare, reimpostare o creare il trust tra i computer. Questo strumento da riga di comando esegue la gestione batch dei trust, li verifica e protegge i canali tra i computer. Inoltre è in grado di unire computer a domini. Se il problema non viene risolto, vedere l'articolo Q317178 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=4441).


Risorse per Domini e trust di Active Directory

Per ulteriori informazioni sugli oggetti gestiti con Domini e trust di Active Directory, vedere le risorse seguenti sul sito Web Microsoft:

  • Per informazioni sui controller di dominio di sola lettura, vedere la pagina della guida dettagliata ai controller di dominio di sola lettura (http://go.microsoft.com/fwlink/?LinkId=92728).

  • Per ulteriori informazioni sul protocollo Kerberos, vedere la pagina relativa (http://go.microsoft.com/fwlink/?LinkId=85494).

  • Per ulteriori informazioni sulle password complesse, vedere la pagina relativa alla creazione e all'utilizzo delle password complesse (http://go.microsoft.com/fwlink/?LinkId=58293).

  • Per ulteriori informazioni sulle proprietà delle zone, vedere la pagina relativa alla configurazione delle proprietà delle zone (http://go.microsoft.com/fwlink/?LinkId=92779).

  • Per ulteriori informazioni sull'aggiornamento dei parametri radice nel server DNS, vedere la pagina relativa a tale operazione (http://go.microsoft.com/fwlink/?LinkId=92717).

  • Per ulteriori informazioni su server di inoltro DNS, vedere la pagina relativa alla configurazione dei server di inoltro DNS (http://go.microsoft.com/fwlink/?LinkId=92718).

  • Per ulteriori informazioni sull'aggiunta di un server secondario a una zona esistente, vedere la pagina relativa (http://go.microsoft.com/fwlink/?LinkId=92719).


Interfaccia utente: Domini e trust di Active Directory

  • Finestra di dialogo Aumento livello funzionalità foresta

  • Finestra di dialogo Cambia foresta

  • Domini e trust di Active Directory - Scheda Suffissi UPN

  • Proprietà dominio - Scheda Trust

  • Proprietà trust - Scheda Generale

  • Proprietà trust - Scheda Routing suffisso nome

  • Finestra di dialogo Filtraggio SID - Protezione dei trust esterni


Finestra di dialogo Aumento livello funzionalità foresta

Elemento Dettagli

Nome foresta

Specifica il nome della foresta selezionata.

Livello funzionalità foresta corrente

Specifica l'impostazione corrente del livello di funzionalità della foresta.

Dopo l'impostazione di questa opzione su un particolare valore, non è possibile ripristinare il valore precedente o diminuire il livello di funzionalità della foresta, con una sola eccezione: quando si aumenta il livello di funzionalità della foresta a Windows Server 2008 R2 e il Cestino di Active Directory non è attivato, è possibile ripristinare il livello di funzionalità della foresta su Windows Server 2008. È possibile diminuire il livello di funzionalità della foresta solo da Windows Server 2008 R2 a Windows Server 2008. Se il livello di funzionalità della foresta è impostato su Windows Server 2008 R2 non è possibile ripristinarlo, ad esempio a Windows Server 2003.

Il livello di funzionalità di un dominio o di una foresta definisce solo l'insieme di sistemi operativi Windows che è possibile eseguire nei controller di dominio, non i sistemi operativi client supportati nella foresta.

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory


Finestra di dialogo Cambia foresta

Elemento | Dettagli
Dominio radice | Visualizza il nome completo (FQDN, Fully Qualified Domain Name) del dominio radice della foresta che rappresenta l'elemento attivo corrente dello snap-in Domini e trust di Active Directory. Per spostare lo stato attivo dello snap-in su un altro dominio radice della foresta, digitare qui il nome DNS (Domain Name System) completo del dominio.
Salva questa impostazione del dominio per la console corrente | Specifica se salvare il dominio corrente con lo stato attivo nello snap-in selezionato. Se si seleziona questa opzione, alla successiva apertura dello snap-in lo stato attivo verrà impostato sul dominio qui elencato.

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory


Domini e trust di Active Directory - Scheda Suffissi UPN

Elemento | Dettagli
Suffissi UPN alternativi | Offre uno spazio in cui digitare il nome del suffisso di nome dell'entità utente (UPN) alternativo.
Aggiungi | Fare clic per aggiungere il suffisso UPN alternativo.
Rimuovi | Fare clic per rimuovere il suffisso UPN alternativo.

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory


Proprietà dominio - Scheda Trust

Elemento Dettagli

Domini trusted di questo dominio (trust in uscita)
  • Nome dominio: Visualizza l'elenco di tutti i domini trusted del dominio selezionato.

  • Tipo di trust: Specifica il tipo di trust tra il dominio selezionato e il dominio trusted.

  • Transitivo: Specifica se il trust tra il dominio selezionato e il dominio trusted è transitivo.

  • Proprietà: Fare clic per visualizzare le proprietà del dominio trusted selezionato.

  • Rimuovi: Fare clic per rimuovere il nome di dominio trusted selezionato dall'elenco dei domini trusted.

Domini trusting di questo dominio (trust in ingresso)
  • Nome dominio: Visualizza l'elenco di tutti i domini trusting del dominio selezionato.

  • Tipo di trust: Specifica il tipo di trust tra il dominio selezionato e il dominio trusting.

  • Transitivo: Specifica se il trust tra il dominio selezionato e il dominio trusting è transitivo.

  • Proprietà: Fare clic per visualizzare le proprietà del dominio trusting del dominio selezionato.

  • Rimuovi: Fare clic per rimuovere il nome di dominio dall'elenco dei domini trusting del dominio selezionato.

Nuova relazione di trust

Fare clic per avviare la Creazione guidata nuova relazione trust.

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory


Proprietà trust - Scheda Generale

Elemento Dettagli

Dominio corrente:
  • Visualizza il nome di dominio completo (FQDN) del dominio attualmente attivo nello snap-in Domini e trust di Active Directory.

Altro dominio:

Visualizza l'FQDN dell'altro dominio nella relazione di trust selezionata.

Tipo di trust

Specifica il tipo della relazione di trust selezionata.

L'altro dominio supporta la crittografia AES Kerberos

Specifica se l'altro dominio nella relazione di trust selezionata supporta la crittografia AES Kerberos.

Nota

Advanced Encryption Standard (AES) è un nuovo algoritmo di crittografia reso standard dal National Institute of Standards and Technology (NIST), che si prevede verrà ampiamente utilizzato nei prossimi anni. Per ulteriori informazioni sull'autenticazione Kerberos, vedere la spiegazione disponibile all'indirizzo http://go.microsoft.com/fwlink/?LinkId=85494.

Direzione del trust

Specifica la direzione della relazione di trust selezionata.

Transitività del trust

Specifica se la relazione di trust selezionata è transitiva.

Convalida

Fare clic per confermare o reimpostare la relazione di trust selezionata.

Salva con nome

Fare clic per salvare un file con informazioni dettagliate sullo stato dei nomi associato alla relazione di trust selezionata.

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory


Proprietà trust - Scheda Routing suffisso nome

Elemento Dettagli

Suffissi di nome nella foresta <Nome DNS>:
  • Suffisso: Un elenco di suffissi di nome nella foresta locale.

  • Routing: Specifica lo stato di routing del suffisso di nome corrispondente.

  • Stato: Specifica lo stato (conflitti, se il suffisso di nome è di nuova creazione e così via) del suffisso di nome corrispondente.

Attiva

Fare clic per impostare lo stato di routing del suffisso nome di selezionato su Attivato.

Disattiva

Fare clic per impostare lo stato di routing del suffisso di nome selezionato su Disattivato.

Aggiorna

Fare clic per aggiornare l'elenco di suffissi di nome nella foresta locale.

Modifica

Fare clic per escludere i suffissi di nome dal routing alla foresta locale.

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory


Finestra di dialogo Filtraggio SID - Protezione dei trust esterni

Per migliorare la sicurezza delle foreste di Active Directory, per impostazione predefinita nei controller di dominio che eseguono Windows Server 2008 o Windows Server 2008 R2 è abilitato il filtro degli identificatori di sicurezza (SID) per tutti i trust nuovi, in uscita ed esterni. Quando il filtro SID è applicato ai trust esterni in uscita, è meno probabile che a utenti malintenzionati con livello di accesso di amministratore del dominio nel dominio trusted siano in grado di concedere, a se stessi o ad altri account utente nel dominio, diritti utente elevati sul dominio trusting.

Informazioni sulla minaccia

Quando il filtro SID non è abilitato sui trust esterni in uscita, un utente malintenzionato con credenziali amministrative nel dominio trusted potrebbe essere in grado di analizzare richieste di autenticazione di rete dal dominio trusting per ottenere le informazioni SID di un utente, ad esempio un amministratore di dominio, che abbia accesso completo alle risorse nel dominio trusting.

Dopo aver ottenuto il SID dell'amministratore di dominio dal dominio trusting, un utente malintenzionato con credenziali amministrative potrà aggiungere tale SID all'attributo SIDHistory di un account utente nel dominio trusted e tentare di ottenere accesso completo al dominio trusting e alle sue risorse. In questo scenario, un utente malintenzionato con credenziali di amministratore di dominio nel dominio trusted rappresenta una minaccia per l'intera foresta trusting.

Il filtro SID neutralizza questa minaccia nel dominio trusted utilizzando l'attributo SIDHistory per ottenere privilegi elevati.

Funzionamento del filtro SID

Quando entità di sicurezza vengono create in un dominio, il SID di dominio è incluso nel SID dell'entità di sicurezza per identificare il dominio in cui l'entità è stata creata. Il SID di dominio è un'importante caratteristica di un'entità di sicurezza, in quanto viene utilizzato dal sottosistema di sicurezza di Windows per verificare l'autenticazione dell'entità di sicurezza.

In modo analogo, i trust esterni in uscita creati dal dominio trusting utilizzano il filtro SID per verificare che le richieste di autenticazione in entrata da entità di sicurezza nel dominio trusted includano solo i SID delle entità di sicurezza nel dominio trusted. Questo viene ottenuto mediante un confronto tra i SID dell'entità di sicurezza in ingresso e il SID di dominio del dominio trusted. Se uno o più SID dell'entità di sicurezza includono un SID di dominio diverso da quello del dominio trusted, il trust rimuove il SID non valido.

Il filtro SID assicura che qualsiasi abuso dell'attributo SIDHistory sulle entità di sicurezza (inclusa inetOrgPerson) nella foresta trusted non possa rappresentare una minaccia per l'integrità della foresta trusting.

L'attributo SIDHistory può essere utile per gli amministratori di dominio quando eseguono la migrazione degli account utente e degli account di gruppo tra domini. Gli amministratori di dominio possono aggiungere SID da un account utente o account di gruppo precedente all'attributo SIDHistory del nuovo account risultante dalla migrazione. In questo modo, gli amministratori di dominio attribuiscono al nuovo account lo stesso livello di accesso alle risorse dell'account precedente.

Se non è possibile utilizzare l'attributo SIDHistory in questo modo, è necessario che gli amministratori di dominio rilevino e riapplichino le autorizzazioni per il nuovo account a ogni risorsa di rete cui l'account precedente aveva accesso.

Effetto del filtro SID

Il filtro SID su trust esterni può influenzare l'infrastruttura di Active Directory esistente nelle due aree seguenti:

  • I dati della cronologia SID che contengono SID da qualsiasi dominio diverso dal dominio trusted vengono rimossi dalle richieste di autenticazione provenienti dal dominio trusted. Questo determina l'impossibilità di accedere alle risorse con il SID precedente dell'utente.

  • Sarà necessario apportare alcune modifiche alla strategia per il controllo di accesso ai gruppi universali.

Quando si abilita il filtro SID, gli utenti che utilizzano i dati di cronologia SID per l'autorizzazione alle risorse nel dominio trusting non avranno più accesso a tali risorse.

Se in genere si assegnano gruppi universali da una foresta trusted agli elenchi di controllo di accesso (ACL) sulle risorse condivise nel dominio trusting, il filtro SID avrà un effetto notevole sulla strategia di controllo di accesso. Dato che i gruppi universali devono rispettare le stesse linee guida degli altri oggetti entità di sicurezza, dal punto di vista del filtro SID (ovvero, il SID dell'oggetto gruppo universale deve includere anche il SID di dominio), verificare che tutti i gruppi universali assegnati a risorse condivise nel dominio trusting siano stati creati nel dominio trusted. Se il gruppo universale nella foresta trusted non era stato creato nel dominio trusted, anche se può contenere utenti dal dominio trusted come membri, le richieste di autenticazione dai membri di tale gruppo universale saranno filtrate e scartate. Per tale motivo, prima di assegnare l'accesso alle risorse nel dominio trusting a utenti nel dominio trusted, confermare che il gruppo universale che include gli utenti del dominio trusted sia stato creato nel dominio trusted.

Ulteriori considerazioni

  • I trust esterni creati da controller di dominio sui quali è in esecuzione Windows 2000 Service Pack 3 (SP3) o versioni precedenti non impongono il filtro SID per impostazione predefinita. Per proteggere ulteriormente la foresta, si consideri la possibilità di abilitare il filtro SID su tutti i trust esterni esistenti creati da controller di dominio sui quali sia in esecuzione Windows 2000 SP o versioni precedenti. È possibile eseguire questa operazione utilizzando Netdom.exe per attivare il filtro SID sui trust esterni esistenti o ricreando questi trust esterni da un controller di dominio che esegue Windows Server 2008 o Windows Server 2008 R2.

  • Non è possibile disattivare il comportamento predefinito che abilita il filtro SID per i trust esterni di nuova creazione.

  • Per ulteriori informazioni sulla configurazione (disattivazione o riapplicazione) delle impostazioni del filtro SID, vedere la pagina relativa alla configurazione della quarantena del filtro SID nei trust esterni (http://go.microsoft.com/fwlink/?LinkId=92778).

Ulteriori riferimenti

  • Interfaccia utente: Domini e trust di Active Directory