供应商要求我们在他们的域和我们的域之间创建单向信任关系，以便我们的用户可以使用来自我们域的凭据登录到他们的应用程序/服务器。
涉及的安全风险是什么？我的第一个想法是拒绝该请求，并坚持要求他们在我们已验证的服务器上安装他们的应用程序，并要求我们在自己的域上进行监控/扫描。但我希望有一些东西可以支持我，这样就不会只是“因为我这么说”。
编辑：他们的服务器位于这里，但在他们自己的域（something.local）上。
答案1
您的供应商无法通过单向信任访问您林中的资源，因此在广告功能级别上对您的环境的风险会被最小化。
在网络层面，您的域控制器和供应商的域控制器之间需要打开大量端口。如果他们的域控制器或应用程序服务器受到攻击，则受攻击的供应商机器可能会直接通过网络访问来攻击您的域控制器。
攻击者还可能能够窃取在供应商系统上进行身份验证的帐户的哈希值，并使用这些被窃取的凭据来访问您的环境。
联合解决方案通常是更好的选择。
答案2
域信任的安全风险在于您的环境受到威胁，可能会使用 sidhistory 进行权限提升。最安全的是跨林信任，因为它允许安全传输外部安全原则（更重要的是，它们被识别为外部）。您还可以使用选择性身份验证来确保只允许正确的 FSP 进入。
任何类型的信任的一个间接问题是，经过身份验证的用户成员资格意味着经过身份验证的用户 - 这将包括来自外部林的经过身份验证的用户。