活动目录( 二 )

域目录树中管理权的传递特性并非固有的。可以通过限制域管理权的范围添加额外的安全层。
目录林
目录林包含一个或多个目录树。目录林中的目录树不共享公用根域。例如， headquarters.com 和 sales.com 域之间无明显的关系。不共享公用根域的目录树被认为是脱开的。
目录林所有目录树中的所有域必须共享以下特性：
域间的传递委托关系
域目录树间的传递委托关系
公用规划
公用全局目录
域目录树和目录林的组合可为邻近和脱开的命名约定提供相当的灵活性。这一点在某些情况下会非常有用，例如，公司中各独立部门必须保持各自的 DNS 名称。
要使域或域目录树中的资源得到广泛应用，只需将域加入目录树中或创建额外的与目录林相关联的域目录树。当域加入目录树后，将在加入域和父域间创建信任关系。当在目录林中创建新目录树时，将在每个目录树的根域间创建信任关系。基本信任关系是透明的，对其无须进一步的管理。
由于链接于目录林中的域目录树是通过传递、双向 Kerberos 信任关系链接的，故用户可以访问整个目录林任何域中的资源。使用活动目录安装向导将域加入目录树中并将两域相联组成目录林将创建双向、传递的 Kerberos 信任关系。
域信任关系
域信任关系是一种建立在域间的关系，它使得一个域中的用户可由另一域中的域控制器进行验证。所有域信任关系中只有两种域：信任关系域和被信任关系域。委托关系是由以下特性表征的：
传递
传递信任关系不受关系中两个域的约束，而是经父域向上传递给域目录树中的下一个域。传递信任关系总是双向的：关系中的两个域互相信任。默认情况下，域目录树或林中的所有 Windows 2000 信任关系都是传递的。通过大大减少需管理的委托关系数量，这将在很大程度上简化域的管理。Windows 2000 中的委托关系基于 Kerberos 协议。
注释
传递信任关系只能存在于相同域目录树或林中 Windows 2000 的域间。
每次安装域控制器和创建新的子域时，将以隐含方式（自动）在父域和新的子域间创建一个传递委托关系。于是，传递委托关系将在其形成时经域目录树向上流动，并随后在域目录树中的所有域间创建传递信任关系。
如果域目录树配置为目录林的一部分，则将在域控制器的安装过程中新域目录树的根域之间自动创建传递委托关系，新域目录树将添加到目录林和目录林根节点（添加到目录林的第一个域目录树的根域）。新的域目录树将信任所有目录林根节点信任的域目录树。于是，传递委托关系将在目录林形成时流经域目录树，并随后在目录林的所有域间创建传递信任关系。
对于相同域目录树或林中的 Windows 2000 域，也可以显式（手工）地创建传递信任关系。这对于形成交叉链接信任关系是非常重要的。
不传递
不传递信任关系受关系中两个域的约束，并且不经父域向上传递到域目录树中的下一个域。以下图表将说明这一点：
必须显式地创建不传递信任关系。默认情况下，不传递信任关系是单向的，尽管也可以通过创建两个单向信任关系创建一个双向关系。所有不属于相同域目录树或林中 Windows 2000 域间建立的委托关系都是不传递的。
注释
所有 Windows 2000 域和 Windows NT 域之间的委托关系都是不传递的。当从 Windows NT 升级到 Windows 2000 时，所有已现有的 Windows NT 信任关系都将保持不变。在混合模式的网络中，所有 Windows NT 信任关系都是不传递的。
总之，不传递信任关系是以下对象委托关系的唯一形式：