Forest trust: SPN không khớp với tên không đủ điều kiện

Cài đặt

Tất cả các máy tính chạy Windows Server 2019.

Miền A

ủy thác rừng

• Tên miềnA.local ủy thác Tên miềnB.local
• Tên miềnB.local ủy thác Tên miềnA.local

kịch bản

Tôi trình bày hai kịch bản dưới đây. Kịch bản A hoạt động như mong đợi. Tôi có một câu hỏi về Kịch bản B.

kịch bản A

Người dùngB@DomainB.local đăng nhập vào WorkStation.DomainB.local và sau đó từ dấu nhắc Run cố gắng mở \Máy chủ tệp.

Hỏi: Cái nào Máy chủ tập tin sẽ xuất hiện?

• một) FileServer.DomainA.local
• b) FileServer.DomainB.local

A: (b) [rõ ràng -- chúng tôi đang sử dụng một MiềnB người dùng trên một MiềnB máy trạm]

Kịch bản B

Người dùngA@DomainA.local đăng nhập vào WorkStation.DomainB.local và sau đó từ dấu nhắc lệnh Run cố gắng mở \Máy chủ tệp.

H: Phần chia sẻ của FileServer nào sẽ xuất hiện?

• một) FileServer.DomainA.local (bởi vì chúng tôi đã đăng nhập bằng một MiềnA tên tài khoản)
• b) FileServer.DomainB.local (bởi vì chúng tôi đã đăng nhập vào một MiềnB máy tính)

A: Không có điều nào ở trên. Thay vào đó, một thông báo lỗi sẽ xuất hiện:

\Máy chủ tệp không thể truy cập được. Bạn có thể không có quyền sử dụng tài nguyên mạng này. Liên hệ với quản trị viên của máy chủ này để tìm hiểu xem bạn có quyền truy cập hay không.

Tên tài khoản đích không chính xác

Câu hỏi

Ai đó có thể giải thích về mặt kỹ thuật tại sao Kịch bản B thất bại không? Đặc biệt:

1. Làm thế nào để chuỗi "\Máy chủ tệp" dịch sang một máy tính cụ thể?

   • DNS có được sử dụng không? Nếu không, những gì được sử dụng?
   • Nó có giải quyết được không FileServer.DomainA.local hoặc FileServer.DomainB.local?

2. SPN có liên quan như thế nào, cụ thể là thực tế là setspn -L FileServer hiển thị các tên không đủ điều kiện như MÁY CHỦ/Máy chủ tệp cũng như các mục đủ điều kiện như MÁY CHỦ/FileServer.DomainB.local

đoán của tôi

1. DNS (và được cho là lẽ thường) giải quyết Máy chủ tập tin đến FileServer.DomainB.local
2. Tuy nhiên, \Máy chủ tệp (CIFS/dấu chéo ngược kép) phân giải thành FileServer.DomainA.local.
3. SPN (bất kể đó là gì) đang "giải quyết" thành FileServer.DomainB.local
4. DomainA/DomainB không khớp trong (2) và (3) là nguồn gốc của Tên tài khoản đích không chính xác