配置AD单向或双向信任的核心目标是控制跨域身份验证流向和访问权限范围，而非实现资源隔离；真正起隔离作用的是ACL、GPO和网络分段，信任仅是跨域策略生效的前提。
配置ad环境下的单向或双向信任，核心目标不是“实现资源隔离”，而是**控制跨域身份验证流向和访问权限范围**。信任本身不直接隔离资源，而是通过限制谁可以被验证、在哪类资源上能被授权，间接支撑隔离策略。真正起隔离作用的是权限分配（如acl）、组策略（gpo）和网络分段；信任只是让这些策略能在跨域场景下生效的前提。
单向信任：明确访问边界，适合严格管控场景
单向信任意味着仅允许一个方向的身份验证——例如域A信任域B，那么域A用户可访问域B资源，但域B用户无法登录或访问域A任何内容。这种结构天然适合需要单点出口、审计收敛或避免反向渗透的环境。
- 在“Active Directory 域和信任关系”管理控制台中，右键根域 → “属性” → “信任”选项卡 → “新建信任”
- 输入被信任域（如b.example.com）→ 类型选“林信任”或“外部信任”→ 方向必须选“单向：此域信任指定域”
- 设置强密码并记录，该密码需在被信任域侧用于确认传入信任
- 完成创建后，在被信任域（b.example.com）上执行反向操作：新建“单向：指定域信任此域”，使用相同密码确认
- 验证时用klist purge && runas /netonly /user:b\user1 cmd测试能否获取域B票据，再尝试访问域B共享路径
双向信任：简化互通，但需配合权限精细化控制
双向信任自动启用两个域之间的相互身份验证能力，常用于协作办公、混合应用集成等场景。但它本身不等于“开放所有权限”，必须叠加严格的资源授权策略，否则会削弱隔离效果。
- 新建信任向导中，方向选择“双向”即可，系统会自动在两侧分别创建传出与传入信任项
- 务必勾选“林范围身份验证”（Forest-wide authentication），避免因选择“选择性身份验证”导致部分服务（如Exchange、SQL Server）无法正常调用S4U2Proxy扩展
- 禁用默认的“Authenticated Users”组对敏感OU的读取权限，改用显式定义的安全组（如“B-ReadOnly-Admins”）授予权限
- 在域控制器组策略中启用“Network security: Restrict NTLM: Incoming NTLM traffic”策略，限制非Kerberos协议的跨域凭据传递
- 若需进一步隔离，可在DNS层面配置条件转发器，仅允许解析对方域内特定子域（如只转发apps.b.example.com），而非整个b.example.com
关键支撑配置：让信任真正服务于隔离目标
没有以下配套措施，单/双向信任都可能成为安全盲区：
- DNS解析必须精确可控：双方需能正向/反向解析对方DC主机名与SRV记录（_ldap._tcp.dc._msdcs.xxx），但不应泛解析无关子域；建议使用条件转发器而非根提示
- 防火墙端口最小化开放：仅放行TCP/UDP 53（DNS）、88（Kerberos）、389/636（LDAP/LDAPS）、445（SMB）、135/139（RPC）等必需端口，拒绝其他域间流量
- 禁用不必要的信任继承：快捷方式信任或林信任虽可传递，但若只需A↔B互通，就不要让C域意外获得路径；检查“信任路径”是否符合预期（可用nltest /server:A /trusted_domains验证）
- 定期审计信任状态：用PowerShell命令Get-ADTrust导出所有信任列表，比对是否仍需存在；对长期未使用的信任及时删除
信任是桥梁，不是围栏。配置单向或双向，本质是在“可控互通”与“严格阻断”之间做权衡。真正落地资源隔离，靠的是信任+权限+网络+策略的组合拳，缺一不可。
