具有来自多个域的成员的 Active Directory 组

Question

使用具有独立林中的多个域的 Windows Server 2003 活动目录（使用双向信任），有什么方法可以在一个域上创建一个包含另一个域的用户的组吗？

例如：

CENTRAL domain users:
CENTRAL\Alice
CENTRAL\Bob

BRANCH Domain Users:
BRANCH\Carol
BRANCH\Dave

BRANCH 和 CENTRAL 之间存在双向信任，但它们不在同一个林中。

有没有办法在 CENTRAL 域中创建一个包含所有四个用户的组？当我尝试这样做时，我发现该组的成员资格属性只允许我搜索 CENTRAL 域中的用户。

Answer 1

如果您使用 DOMAIN LOCAL 组，您将能够将两个域中的用户添加到一个组中。

更好的是，从 BRANCH 域（以及从 CENTRAL 域）向域本地组添加一个 Global/Universal 组：

中央域
特别组
中央\爱丽丝
中央\鲍勃

分支域
特别小组
BRANCH\Carol
BRANCH\dave

中央域
联合域本地组
中央\特殊组
分支\特殊组

这样，向 JOINT 组添加新成员就意味着将他们添加到其域内的全局组中。

Answer 2

是的，组的“全局”和“本地”命名指的是它们可以在哪里使用，而不是它们可以包含什么。

还在此处插入有关通用组的常见复制免责声明。