GuilleSQL :: Microsoft SQL Server, SSIS, y más !!

Crear una Relación de Confianza Bidireccional (Two-Way) de tipo Bosque (Forest Trust) en Windows Server 2003 R2


En diferentes situaciones necesitaremos crear Relaciones de Confianza en Directorio Activo, entre diferentes Dominios de diferentes Bosques, incluso en algunos casos desearemos que confíen entre sí todos los Dominios de un Bosque con todos los Dominios de otro Bosque, para lo cual, deberemos crear una Relación de Confianza de tipo Bosque (Forest Trust). Sin embargo, este tipo de relaciones de confianza tienen algunas peculiaridades que podemos necesitar conocer, para una correcta planificación y ejecución de la misma, y para su posterior mantenimiento.

Las Relaciones de Confianza de tipo Bosque (Forest Trust), nos permiten definir una Relación de Confianza Bidireccional y Transitiva entre dos Bosques de Directorio Activo, de tal modo que exista total confianza entre todos los Dominios de ambos Bosques, sin tener que crear una Relación de Confianza entre cada par de Dominios (mucho más rápido y sencillo de configurar).

Hace un tiempo hablábamos de un caso parecido, sobre cómo crear una relación de confianza unidireccional entre dos Dominios de dos Bosques Windows Server 2003 R2. Sin embargo, en esta ocasión, el escenario cambia bastante, al tratarse de una Relación de Confianza de tipo Bosque (Forest Trust).

Quizás, los dos principales requisitos a tener en cuenta, son los siguientes:

  • Resolución de Nombres DNS, directa e inversa. Debería de funcionar correctamente la Resolución de Nombres DNS, tanto directa como inversa, de tal modo, que desde cualquier dominio podamos resolver registros DNS de otro dominio cualquiera.
  • Nivel funcional de los Bosques debe estar establecido a Windows Server 2003. En consecuencia, el nivel funcional de todos los Dominios debe estar igualmente establecido a Windows Server 2003. En caso contrario, podremos crear relaciones de confianza, pero no de tipo Bosque.

En cualquier caso, siempre es recomendable revisarse la documentación de producto (ej: Creating Forest Trusts), así como realizar algún laboratorio para asegurarse que la solución que estamos diseñando cumple correctamente nuestras expectativas (y las de nuestro cliente).

En nuestro caso de ejemplo, tenemos un entorno de laboratorio formado por cuatro máquinas corriendo Windows Server 2003 R2 SP2 x86:

  • Bosque A, de la compañía A. Tiene dos árboles, cada uno de los cuales contiene un único dominio (dominio1.root y dominio2.int).
  • Bosque B, de la compañía B. Tiene un único árbol, con dos dominios en relación padre e hijo (dominio3.net y corp.dominio3.net). 

La resolución de nombres DNS está correctamente configurada y funcionando perfectamente, y ambos bosques están ya en nivel funcional Windows Server 2003. La idea es establecer una única Relación de Confianza entre los Bosques de ambas compañías, para que puedan trabajar juntas, como consecuencia de un proceso de fusión de empresas.

Si no estamos seguros de que nuestro Bosque esté en modo funcional Windows Server 2003, desde la herramienta administrativa Active Directory Domains and Trust (ADDT), podemos utilizar la opción Raise Forest Functional Level, para verlo.

Si no estamos seguros de que nuestro Bosque esté en modo funcional Windows Server 2003, desde la herramienta administrativa Active Directory Domains and Trust (ADDT), podemos utilizar la opción Raise Forest Functional Level, para verlo

En el diálogo Raise Forest Functional Level podremos comprobar fácilmente el modo funcional de nuestro Bosque.

En el diálogo Raise Forest Functional Level podremos comprobar fácilmente el modo funcional de nuestro Bosque

Igualmente, deberemos conocer cuál es el Dominio Raíz de nuestro Bosque (Forest Root). Si no lo sabemos, podemos averiguar cuál es el Dominio Raíz de un Bosque (Forest Root) con ADSI Edit, de una forma bastante sencilla.

Para crear la nueva Relación de Confianza de tipo Bosque (Forest Trust), nos conectaremos a un Controlador de Dominios del Bosque A, y abriremos la herramienta administrativa Active Directory Domain and Trusts (ADDT), y en las propiedades del Dominio Raíz del Bosque, deberemos hacer click en el botón New Trust.

Para crear la nueva Relación de Confianza de tipo Bosque (Forest Trust), nos conectaremos a un Controlador de Dominios del Bosque A, y abriremos la herramienta administrativa Active Directory Domain and Trusts (ADDT), y en las propiedades del Dominio Raíz del Bosque, deberemos hacer click en el botón New Trust

 Se abrirá el asistente para la creación de una nueva Relación de Confianza (New Trust Wizard). Un detalle importante, es que si nuestro Bosque no está en modo funcional Windows Server 2003, se mostrará una ventana como la siguiente, en la que no aparece ninguna opción para crear una Relación de Confianza de tipo Bosque (Forest Trust).

Se abrirá el asistente para la creación de una nueva Relación de Confianza (New Trust Wizard). Un detalle importante, es que si nuestro Bosque no está en modo funcional Windows Server 2003, se mostrará una ventana como la siguiente, en la que no aparece ninguna opción para crear una Relación de Confianza de tipo Bosque (Forest Trust)

Cuando el Bosque está en modo funcional Windows Server 2003 (como es nuestro caso), se mostrará una ventana como la siguiente, en la que sí se indica la posibilidad de crear una Relación de Confianza con otro Bosque, que es justo la opción que queremos. Click en Next para continuar.

Cuando el Bosque está en modo funcional Windows Server 2003 (como es nuestro caso), se mostrará una ventana como la siguiente, en la que sí se indica la posibilidad de crear una Relación de Confianza con otro Bosque, que es justo la opción que queremos

En el diálogo Trust Name especificaremos el nombre del Dominio Raíz del Bosque con el que deseamos establecer la Relación de Confianza, y click en Next para continuar.

En el diálogo Trust Name especificaremos el nombre del Dominio Raíz del Bosque con el que deseamos establecer la Relación de Confianza

En el diálogo Trust Type especificaremos que deseamos crear una Relación de Confianza de tipo Bosque (Forest Trust). Click Next para continuar.

En el diálogo Trust Type especificaremos que deseamos crear una Relación de Confianza de tipo Bosque (Forest Trust)

En el diálogo Direction of Trust especificaremos que deseamos crear una Relación de Confianza Bi-Direccional (Two-way). Click Next para continuar.

En el diálogo Direction of Trust especificaremos que deseamos crear una Relación de Confianza Bi-Direccional (Two-way)

En el diálogo Sides of Trust, deberemos especificar si deseamos crear la Relación de Confianza sobre el dominio actual (This domain only), o sobre ambos dominios (Both this domain and the specified domain). Cuando se trata de Bosques pertenecientes a diferentes empresas, cada empresa suele crear la Relación de Confianza sobre su Bosque/Dominio, por lo tanto hay que utilizar la opción This domain only, y lanzar el Wizard para la creación de la Relación de Confianza dos veces, una vez sobre cada dominio. Si tenemos usuarios con permisos elevados sobre ambos Bosques, podemos utilizar la opción Both this domain and the specified domain, y de una única vez hacerlo todo. En nuestro caso de ejemplo, vamos a utilizar la opción This domain only, ya que es un caso muy común al crear Relaciones de Confianza entre Dominios de diferentes compañías, que es el caso de nuestro Laboratorio.

En el diálogo Sides of Trust, deberemos especificar si deseamos crear la Relación de Confianza sobre el dominio actual (This domain only), o sobre ambos dominios (Both this domain and the specified domain)

En el diálogo Outgoing Trust Authentication Level, deberemos seleccionar el Nivel de Autenticación deseado para nuestra relación de confianza. En nuestro caso de ejemplo, seleccionaremos la opción Domain-wide authentication. Click Next para continuar.

En el diálogo Outgoing Trust Authentication Level, deberemos seleccionar el Nivel de Autenticación deseado para nuestra relación de confianza. En nuestro caso de ejemplo, seleccionaremos la opción Domain-wide authentication

En la pantalla Trust Password, deberemos especificar la contraseña deseada para nuestra relación de confianza (Trust). Click Next para continuar.

En la pantalla Trust Password, deberemos especificar la contraseña deseada para nuestra relación de confianza (Trust)

En la pantalla Trust Selections Complete, revisaremos toda la información resumida para la relación de confianza (Trust) que vamos a crear, y si estamos de acuerdo, click Next para continuar y crear la relación de confianza.

En la pantalla Trust Selections Complete, revisaremos toda la información resumida para la relación de confianza (Trust) que vamos a crear, y si estamos de acuerdo, click Next

La relación de confianza ha sido creada con éxito. Click Next para continuar.

La relación de confianza ha sido creada con éxito

Llegados a este punto, deberemos de realizar los mismos pasos desde el Dominio Raíz del otro Bosque, para crear la parte de la Relación de Confianza en el otro extremo. Una vez realizado, con la Relación de Confiada en ambos extremos (en ambos Bosques), continuamos.

En la pantalla Confirm Outgoing Trust, especificaremos que deseamos confirmar nuestra relación de confianza (Trust), ya que la acabamos de crear también en el otro Bosque. Click Next para continuar.

En la pantalla Confirm Outgoing Trust, especificaremos que deseamos confirmar nuestra relación de confianza (Trust)

En la pantalla Confirm Incoming Trust, especificaremos que NO deseamos confirmar nuestra relación de confianza (Trust). Click Next para continuar.

En la pantalla Confirm Incoming Trust, especificaremos que NO deseamos confirmar nuestra relación de confianza (Trust)

Realizado todo esto, habremos creado con éxito y confirmado nuestra Relación de Confianza desde uno de los lados (en el Dominio A), por lo que deberemos repetir estos últimos pasos también en el otro extremo (en el Dominio B).

Realizado todo esto, habremos creado con éxito y confirmado nuestra Relación de Confianza desde uno de los lados (en el Dominio A), por lo que deberemos repetir estos últimos pasos también en el otro extremo (en el Dominio B)

Finalizada la creación de nuestra Relación de Confianza, en el Dominio A podremos ver que ya existe, y que efectivamente es de tipo Forest. Si lo deseamos, podemos ver sus propiedades.

Finalizada la creación de nuestra Relación de Confianza, en el Dominio A podremos ver que ya existe, y que efectivamente es de tipo Forest

Al ver sus propiedades, en la pestaña Name Suffix Routing, nos aparecerá el dominio raíz del otro Bosque, lo cual es correcto. Recordemos que dicho Bosque tiene un único árbol con dos Dominios (padre e hijo).

Al ver sus propiedades, en la pestaña Name Suffix Routing, nos aparecerá el dominio raíz del otro Bosque, lo cual es correcto. Recordemos que dicho Bosque tiene un único árbol con dos Dominios (padre e hijo)

Igualmente, en el Dominio B podremos ver que también existe la Relación de Confianza, y que es de tipo Forest. Sin embargo, en esta ocasión, en sus propiedades, podremos observar en la pestaña Name Suffix Routing que aparecen dos entradas, una para cada árbol de dicho Bosque, con la peculiaridad, de que por defecto queda habilitado sólo para el Dominio/Árbol raíz, y deshabilitado para el otro Dominio/Árbol. Ojo, que esto es importante, y si lo necesitamos, deberemos habilitarlo.

Igualmente, en el Dominio B podremos ver que también existe la Relación de Confianza, y que es de tipo Forest. Sin embargo, en esta ocasión, en sus propiedades, podremos observar en la pestaña Name Suffix Routing que aparecen dos entradas, una para cada árbol de dicho Bosque, con la peculiaridad, de que por defecto queda habilitado sólo para el Dominio/Árbol raíz, y deshabilitado para el otro Dominio/Árbol. Ojo, que esto es importante, y si lo necesitamos, deberemos habilitarlo

Poco más por hoy. Como siempre, confío que la lectura resulte de interés.

 


[Fecha del Artículo (UTC): 30/06/2015]
[Autor: GuilleSQL]



Escribir un Comentario

Para poder escribir un comentario, debe Iniciar Sesión con un usuario.

Si no dispone de un usuario, puede Registrarse y hacerse miembro.

Si dispone de un usuario, pero no recuerda sus credenciales de acceso, puede Restablecer su Contraseña.

Miembros de
Miembros de GITCA (Global IT Community Association)

Menu de Usuario
  Iniciar Sesión
  Registrarse
  Restablecer Contraseña
  Ventajas de Registrarse

Acerca de
  Contigo desde Oct 2007
  771 usuarios registrados
  86146 pageloads/mes
  Ranking Alexa 498160

Social Networks
Sigue a Portal GuilleSQL en Linkedin !!
Sigue a Portal GuilleSQL en Twitter !!



Archivo

Marzo de 2017 (2)
Enero de 2017 (4)
Junio de 2016 (1)
Mayo de 2016 (2)
Abril de 2016 (2)
Septiembre de 2015 (2)
Agosto de 2015 (2)
Junio de 2015 (10)
Mayo de 2015 (4)
Abril de 2015 (8)
Marzo de 2015 (11)
Octubre de 2014 (3)
Septiembre de 2014 (7)
Agosto de 2014 (5)
Julio de 2014 (2)
Mayo de 2014 (4)
Abril de 2014 (4)
Marzo de 2014 (4)
Febrero de 2014 (1)
Enero de 2014 (5)
Diciembre de 2013 (8)
Noviembre de 2013 (2)
Octubre de 2013 (7)
Septiembre de 2013 (6)
Agosto de 2013 (1)
Julio de 2013 (6)
Junio de 2013 (11)
Mayo de 2013 (7)
Abril de 2013 (6)
Febrero de 2013 (5)
Enero de 2013 (7)
Diciembre de 2012 (12)
Noviembre de 2012 (13)
Octubre de 2012 (5)
Septiembre de 2012 (3)
Agosto de 2012 (6)
Julio de 2012 (4)
Junio de 2012 (1)
Mayo de 2012 (2)
Abril de 2012 (7)
Marzo de 2012 (16)
Febrero de 2012 (9)
Enero de 2012 (5)
Diciembre de 2011 (10)
Noviembre de 2011 (10)
Octubre de 2011 (4)
Septiembre de 2011 (5)
Agosto de 2011 (2)
Julio de 2011 (2)
Junio de 2011 (4)
Mayo de 2011 (2)
Abril de 2011 (6)
Marzo de 2011 (4)
Febrero de 2011 (10)
Enero de 2011 (5)
Diciembre de 2010 (6)
Noviembre de 2010 (4)
Octubre de 2010 (8)
Septiembre de 2010 (4)
Agosto de 2010 (1)
Julio de 2010 (3)
Mayo de 2010 (5)
Abril de 2010 (6)
Marzo de 2010 (8)
Febrero de 2010 (3)
Enero de 2010 (1)
Diciembre de 2009 (9)
Noviembre de 2009 (14)
Octubre de 2009 (2)
Septiembre de 2009 (8)
Agosto de 2009 (2)
Julio de 2009 (10)
Junio de 2009 (9)
Mayo de 2009 (10)
Abril de 2009 (9)
Marzo de 2009 (3)
Febrero de 2009 (2)
Enero de 2009 (3)
Noviembre de 2008 (2)
Octubre de 2008 (2)
Septiembre de 2008 (2)
Agosto de 2008 (5)
Julio de 2008 (5)
Junio de 2008 (1)
Mayo de 2008 (3)
Abril de 2008 (2)
Marzo de 2008 (2)
Febrero de 2008 (2)
Enero de 2008 (5)
Noviembre de 2007 (2)
Octubre de 2007 (2)






Esta información se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.
This information is provided "AS IS" with no warranties, and confers no rights.

Copyright © 2007 GuilleSQL, todos los derechos reservados.
GuilleSQL.com y GuilleSQL.net son también parte de Portal GuilleSQL.

Visitas recibidas (Page Loads) en GuilleSQL (fuente: StatCounter):

screen resolution stats
Visitas