建立域信任需三步：DNS双向解析、按场景选外部或林信任、用全局组+本地域组授权。缺一不可，否则跨域访问失败。

要让不同域的用户能访问彼此的文件服务器、应用系统等资源，核心就是建立域信任关系。这并不是一步到位的操作，而是依赖 dns 解析、信任创建、权限配置三个环节环环相扣。下面分三块讲清楚怎么做。

DNS 必须先互通，否则信任建不起来
域控制器之间无法解析对方域名，Kerberos 认证第一步就失败。不是靠公网 DNS，而是要在各自域的 DNS 服务器上做双向配置：

• 在 A 域 DNS 中新建一个“标准辅助区域”，主服务器填 B 域 DC 的 IP，区域名称填 B 域名（如 fabrikam.com）
• 同样，在 B 域 DNS 中新建辅助区域，主服务器填 A 域 DC 的 IP，区域名填 A 域名（如 contoso.com）
• 完成后用 nslookup fabrikam.com 和 nslookup contoso.com 分别在两边测试是否能返回对方 DC 的 IP
• 反向解析（IP 查主机名）也建议配好，尤其对打印服务、某些旧应用很重要

根据环境选对信任类型再创建
两个域如果属于同一个林（比如 contoso.com 和 hr.contoso.com），父子信任或树根信任是自动建立的，不用手动操作。
但多数跨域场景是两个独立林（如 contoso.com 和 fabrikam.com），这时必须手动建信任，主要两种：

• 外部信任：只在两个指定域之间生效，不可传递。适合临时对接、或只允许某两个域互通的严格管控场景
• 林信任：只能在两个林的根域之间建立，但一旦建好，整个林内所有域都自动获得互访能力，且可传递。并购、集团多子公司统一管理时首选

创建方式：

• 打开“Active Directory 域和信任关系”管理工具
• 右键本域 → “属性” → “信任”选项卡 → “新建信任”
• 按向导输入对方域名，选择信任类型（外部信任 / 林信任）、方向（单向/双向）、身份验证范围（全林性 / 仅域）
• 输入对方林根域管理员凭据完成验证

资源服务器上必须给跨域用户授权
信任建好 ≠ 自动能访问。A 域用户登录后拿到的是 A 域签发的票据，B 域资源服务器需要知道“哪些 A 域的人可以进”。授权不能直接加 A 域用户，而要用组策略推荐的方式：

• 在 A 域中创建一个全局安全组（如 G_AccessToFabrikam）
• 把需要访问 B 域资源的 A 域用户加入该组
• 在 B 域中创建一个本地域组（如 L_FabrikamShareAccess）
• 把 A 域的全局组（G_AccessToFabrikam）加入 B 域这个本地域组
• 最后在 B 域的文件服务器共享权限和 NTFS 权限里，只给这个本地域组（L_FabrikamShareAccess）赋权

这种方式既清晰又便于后期维护，避免权限散落在几十个用户账户上。

windows-shell

Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。

下载

不复杂但容易忽略