Привет всем.

Возможно глупый вопрос.

Настроил трасты между двумя Windows Server 2003
типы трастов Two Way
Trust Type : External
Authentication : Domain Wide Authentication

Validate проходит. Все друг друга видят и все работает.

Домены: ADTrusted, ADTrusting

Завел по юзеру в доменах соответственно: trusteduser, trustinguser

С машины XP
в домен ADTrusted под юзером trusteduser заходит
и в домен ADTrusting под юзером trustinguser заходит

Теперь хочу в домен ADTrusted под юзверем trustinguser и наоборот ADTrusting под юзверем trusteduser ;) а можно ли вообще?

забыл сказать зачем мне это нужно.
хочу настроить oracle application server 10.1.2.0.2 sso для использования wna с многими доменными контроллерами,

для одного доменного контроллера все успешно выполнено.

теперь хочу, чтобы домены с настроенными трастами аутентифицировали пользователя из другого домена...

т.е. надо сделать cross forest kerberos authentication...

в итоге выяснилось для реализации cross forest kerberos authentication необходимы трасты вида forest или realm, а external для этого дела не подходит (для керберос)...

была борьба с настройкой dns (lookup zone, revers zone), на предмет взаимодействия одного контроллера с другим.. т.е. возможность пинговать машиный с одного контроллера в другом... короче получилось сделать межлесовые трасты.

--

как настроить межлесовую керберос аутентификацию?

читал талмуды, все кричат что это сделать можно...

но ни одного конкретного примера найдено не было...

смотрю в сторону всяких SPN, есть мысли?

делегэйш оф аутентикэйш (онли керберос)...

но что-то не выходит аленький цветочег ;)

ура, все заработало, где-то накосячил при установки forest trusts между доменами...

теперь пользователи автоматом из второго домена по sso, по учетной записи для первого домена (sso.keytab) успешно ходят...

вобщем нахрен не нужны никакие спн'ы, нужно только правильно настроить трасты между лесами...

туда входит настройка DNS где настраивается revers zone, lookup zone, root hint, forwards, машины должны пинговаться по fqdn из одного домена в другом и все такое...

после создания трастов между доменов никаких ошибок быть не должно (была какая-то ошибка в первый раз, думал не серьзная...)...

зоопарк из 7 машин фунциклирует отлично... :)

но все равно много осталось за кадром чего не успел принять