security - 在合作伙伴公司的 Active Directory 实例之间建立信任关系是否有意义？

Question

如果公司经常要求在合作伙伴的事件目录中创建用户，反之亦然，那么在 AD 实例之间建立联合/信任关系是否有意义？如果是这样，应该考虑什么？伙伴 AD 中用户的 ACL 是否仍以相同方式工作？这暴露了哪些安全风险？

谢谢!

K A

更新:

我了解到有一种更好的方法可以通过让应用程序本身检查用户存储来做到这一点。最好的方法是将应用程序移动到两个用户存储都信任的域中。我在下面的回答中提供了更多细节。

Answer 1

是的，如果您希望两者都能够跨多个域对人员进行身份验证，这是有道理的。您必须将具有您所针对的应用程序的服务器放在您想要用于身份验证的每个 AD 实例信任的域中。