核心是两步：先建林信任作为身份验证通道，再在目标林资源上手动配ACL授权；信任仅解决“被认出”，ACL才决定“能进哪扇门”。
配置域信任关系实现跨林资源访问，核心是两步：先建好林信任作为身份验证通道，再在目标林资源上手动配acl授权。信任本身不等于权限，只是让对方用户能“被认出来”，真正能“进哪扇门”得靠你一条条设。
一、创建林信任关系
林信任必须在两个林的根域之间建立，且只在两林之间生效，不能自动延伸到第三个林：
- 在任一林的域控制器上打开“Active Directory 域和信任关系”，右键根域 → “属性” → “信任”选项卡 → “新建信任”
- 输入对方林的DNS根域名（如partner.com），类型选“森林信任”
- 方向按需选择：单向（仅一方用户可访问另一方资源）或双向（双方互访）
- 认证类型建议默认“林范围身份验证”；若需更高安全控制，可勾选“选择性身份验证”，但后续必须为每个服务（如CIFS、LDAP）显式授权SPN
- 完成向导后，在双方林的“信任”属性页中均应看到对应条目，可用nltest /trust命令验证连通性
二、确保DNS双向解析正常
没有DNS解析，信任形同虚设。源林用户登录或访问时，目标林DC需能解析其UPN（如user@sourceforest.com）：
- 在双方林各自的DNS服务器上，为对方林的根域名配置“条件转发器”，指向对方林DNS服务器IP
- 测试方法：在目标林DC上执行nslookup user@sourceforest.com，应能返回源林DC地址
- 若使用NetBIOS名访问（如SOURCE\user），还需确认对方林NetBIOS名已注册到本地WINS或hosts文件（不推荐，优先用FQDN）
三、配置跨林访问控制列表（ACL）
这是最容易忽略也最关键的一步。Windows不会自动把源林用户加入目标林任何组，ACL必须显式添加：
- 在目标林资源（如NTFS文件夹、共享、OU）上右键 → “属性” → “安全” → “编辑” → “添加”
- 点击“位置”，切换到目标林 → 点击“高级” → “立即查找”，此时应能列出源林的用户或全局组（依赖DNS和信任状态）
- 推荐做法：在目标林创建一个域本地组（如DL-AppAccess-Partner），把源林用户/组加进去，再给该本地组赋予权限——避免直接对跨林主体设ACL，便于后期维护和审计
- 注意：源林用户无法嵌套进目标林全局组或通用组；若需委派OU管理权限（如重置密码），必须用ADUC中的“委派控制向导”，并在向导中明确选择源林主体
四、验证与安全加固
配置完成后务必验证实际行为，并启用基础审计：
- 用源林普通用户账号登录目标林客户端，尝试访问已授权的共享路径或AD对象，观察是否提示“拒绝访问”
- 检查事件查看器 → 安全日志，筛选ID 4662（对象访问）和4670（权限更改），确认跨林操作是否被记录
- 对关键OU或共享文件夹启用SACL审核：右键属性 → “安全” → “高级” → “审核”选项卡 → 添加源林主体，勾选“成功”的“对象访问”
- 定期审查信任属性页，确认未误启“选择性身份验证”且未开放过高权限（如直接授予源林Domain Admins目标林本地管理员组）
