Windows在AD中新建子域时自动建立双向可传递的父子信任关系，无需手动配置；需确保同林、DNS解析通畅，并通过nltest或管理单元验证，但权限访问仍需显式设置。
Windows 在 Active Directory 中配置子域与父域的信任关系，不需要手动创建——这是自动完成的。
当你使用 Active Directory 域服务安装向导（dcpromo 或 PowerShell 的 Install-ADDSForest / Add-ADDSForest）在现有林中新建一个子域时，系统会自动建立双向、可传递的父子信任关系。这种信任是林内默认行为，也是林结构安全与功能的基础。
下面分几个关键点说明实际操作和注意事项：
新建子域时信任自动生效
- 子域必须属于同一林（即共享相同架构、配置分区和全局编录）；
- 安装过程中选择“在现有林中创建新域”，并指定父域（如
contoso.com），然后输入子域名（如beijing.contoso.com）； - 完成后，父子域之间立即存在：
- ✅ 双向信任（父域信任子域，子域信任父域）
- ✅ 可传递信任（例如：若
shanghai.contoso.com也属于同一林，则beijing.contoso.com与shanghai.contoso.com也能通过父域间接互信）
- 不需要额外运行
netdom trust或图形界面手动添加。
验证父子信任是否正常
可在任一域控制器上执行以下命令确认：
nltest /domain:beijing.contoso.com /trusted_domains
输出中应包含 contoso.com，且状态为 0x0（成功）。
也可在“Active Directory 域和信任关系”管理单元中，右键父域或子域 → “属性” → “信任”选项卡，查看已列出对方域条目。
权限与资源访问仍需显式配置
自动信任 ≠ 自动授权。源域用户要访问目标域资源，仍需：
- 在目标域资源（如文件夹、OU、打印机）的 ACL 中，明确添加源域的用户或组；
- 推荐做法：在目标域创建域本地组（如
DL-Subdomain-Access），将子域用户加入其中，再给该组分配权限； - 注意：子域用户不能直接加入父域的全局组或通用组；若需委派管理权限（如重置密码），须用 ADUC 的“委派控制向导”，并在向导中手动选择子域主体。
DNS 解析必须通畅
父子域通信依赖 DNS 正向/反向解析：
- 确保各域控制器能通过 FQDN（如
dc01.beijing.contoso.com）解析彼此； - 推荐在父域和子域的 DNS 服务器上，为对方域名配置条件转发器（而非仅靠根提示）；
- 测试：在子域 DC 上执行
nslookup contoso.com，应返回父域 DC 的 IP 地址。
不复杂但容易忽略
