将林 A 的“企业管理员”组添加到林 B 的“企业管理员”组

Question

首先，我想指出的是，这个问题纯粹是理论上的。我问这个问题是为了更好地理解 Active Directory 中不同组的性质。

因此，我创建了两个独立的 Active Directory 林，即林 A 和林 B。此外，我还手动创建了它们之间的双向可传递林信任。现在，我想再尝试一件事：允许林 A 中的任何企业管理员在林 B 中执行任何管理任务。

为此，我想到将林 A 的“企业管理员”组添加到林 B 的“企业管理员”组。这是不可能的，因为“企业管理员”组只能拥有同一个林内的成员。

接下来我尝试在森林B中添加一个中间组，想法是：

A 的“企业管理员” ==> 中级组 ==> B 的“企业管理员”

然而，唯一可以容纳其他森林成员的组是“本地组”，它不能成为任何其他类型组的成员。

所以，我被困在这里。 有可能完成这个任务吗？

Answer 1

不幸的是，这是不可能的；企业管理员组的范围可以是全局的，也可以是通用的，但无论哪种情况，都无法添加来自其他林的安全主体。唯一可以包含来自其他林的安全主体的范围是域本地范围，它永远不能在其所属的域之外使用。这包括子组和用户。

但是，每个域的管理员组都是域本地组，因此您可以将其他林的企业管理员组添加到每个域的管理员组。这可能是您试图避免的繁琐操作，但这是授予此权限的最简单方法。

作为参考，请查看以下 Technet 文章：

• 默认组及其范围
• 组范围语义的解释