| L’approbation entre domaines |
Via l'établissement d'une relation d'approbation entre les domaines A et B, un utilisateur du domaine A pourra utiliser les ressources du domaine B
(ie l'administrateur de B pourra utiliser les comptes du domaine A pour attribuer des autorisations et donc rendre l'utilisation de ses propres ressources aux utilisateurs de B, domaine de ressouce). Cela peut même autoriser un utilisateur du domaine A à ouvrir une session de travail sur les machines du domaine B comme s'il était connecté sur une machine de son propre domaine (connexions automatiques, profil itinérant, ...).
(ie l'administrateur de B pourra utiliser les comptes du domaine A pour attribuer des autorisations et donc rendre l'utilisation de ses propres ressources aux utilisateurs de B, domaine de ressouce). Cela peut même autoriser un utilisateur du domaine A à ouvrir une session de travail sur les machines du domaine B comme s'il était connecté sur une machine de son propre domaine (connexions automatiques, profil itinérant, ...).
L'établissement d'une relation d'approbation met en jeu la participation des administrateurs du domaine des deux domaines.
L'administrateur de A devra autoriser l'administrateur de B à l'approuver. Ensuite B pourra approuver A.
L'administrateur de A devra autoriser l'administrateur de B à l'approuver. Ensuite B pourra approuver A.
L'approbation parent-enfant entre domaines Windows 2003 ou 2000 est commutative et transitive. Les approbations externes (avec domaine Windows NT 4.0 ou NT 3.51 ou avec domaine d'une autre forêt) ne sont ni commutatives, ni transitives.
 |  |
Menu contextuel associé à la clé "Domaines et approbations Active Directory" | Menu contextuel associé à un domaine référencé |
Propriétés d'un domaine référencé
Après installation initiale, un domaine Windows 2000
est configuré en mode mixte,
i.e. il interopère avec les domaines
des versions antérieures de Windows
est configuré en mode mixte,
i.e. il interopère avec les domaines
des versions antérieures de Windows
Autres domaines approuvés
Autres domaines qui vous approucvent
Pour l'instant, rien nul part
Autres domaines qui vous approucvent
Pour l'instant, rien nul part
Utilisateur gestionnaire
Exemple: On souhaite que les utilisateurs du domaine Windows NT 4.0 IUP_INFO soient autorisés sur les machines du domaine Windows 2003 w2k3.univ-fcomte.fr (et réciproque).
- S'assurer que les contrôleurs de domaine des deux domaines qui vont être utilisés pour la manipulation sont à même de communiquer l'un avec l'autre (protocole de communication correctement configuré, résolution de noms fonctionnelle).
- Au moyen du gestionnaire des utilisateurs d'un contrôleur du domaine IUP_INFO, configurer une autorisation d'approbation (attribution d'un mot de passe) pour le domaine w2k3.univ-fcomte.fr (W2K3 en terminologie NT 4.0).
Approbation préparée du coté Windows NT 4.0
- Au moyen du gestionnaire d'approbation d'un contrôleur du domaine w2k3.univ-fcomte.fr, configurer l'approbation des utilisateurs du domaine IUP_INFO (indication du mot de passe créé à cette intention).
Aucune relation d'approbation établie
Lancement de l'assistant de création d'une nouvelle approbation
Indication du domaine cible
Sens de l'approbation (bidirectionnelle, entrante ou sortante)
Niveau d'authentification
Indication du mot de passe de la relation d'approbation
Confirmation de la création de la relation d'approbation
Relation d'approbation créée -> Configuration
Relation d'approbation bidirectionnelle configurée du coté NT 4.0 pour que la confirmation de l'approbation fonctionne.
Confirmation de l'approbation sortante
Confirmation de l'approbation entrante
Approbation configurée et fonctionnelle dans les deux sens
Information
Nouvel état des relations d'approbation
Propriétés générales
Demande de validation
Validation effectuée
Authentification
- Ouverture de session de travail sur des machines d'autres domaines comme si ces machines appartenaient au domaine natif du compte
- Utilisation sécurisée de ressources réseau proposées sur des serveurs d'autres domaines
Affectation d'autorisations sur un répertoire
Fenêtre d'ajout d'un utilisateur ou d'un groupe d'utilisateurs
Deux domaines reconnus comme emplacement
Recherche dans le domaine IUP_INFO
Utilisation du bouton "Avancé..." pour visualiser
les utilisateurs eu groupes d'utilisateurs possibles
les utilisateurs eu groupes d'utilisateurs possibles
Choix de l'administrateur du domaine IUP_INFO
IUP_INFO\Administrateur dans la liste des autorisations
Maitre d'opérations (Opération à maître unique)
Via l'option "Maître d'opérations" sur la clé "Domaine et approbation Active Directory"
Configuration du maître d'attribution des noms de domaine
