Confianza entre directorios y accesos

Una relación de confianza entre dos directorios permite que las cuentas de uno sean reconocidas por el otro. Tiene una dirección: el dominio que confía deja que se autentiquen las cuentas del dominio en que confía. En una confianza unidireccional el reconocimiento va en un solo sentido; en una bidireccional, en ambos.

Elegir la dirección es elegir quién puede tocar qué. Una confianza bidireccional entre dos empresas recién fusionadas suele dar más acceso del que ninguna de las dos pidió, y deshacerlo después cuesta más que haberlo acotado al inicio.

Las opciones de confianza se distinguen por cuatro rasgos: la dirección, si es transitiva (si el reconocimiento se extiende a otros dominios con los que ya haya confianza), si usa autenticación selectiva (cada servidor autorizado por separado en lugar de todos) y el alcance (un dominio o todo un bosque).

Aquí el negocio pidió un solo sentido, sin extender el acceso a otros dominios, y con control servidor por servidor.

Compara la tabla de necesidades con la de opciones.

Cuando se unen dos directorios es común que el mismo nombre de cuenta exista en ambos. A veces es la misma persona, y a veces no. Un permiso otorgado «a jperez» por nombre puede acabar en manos de otra persona si los dos lados se reconocen sin cuidado. La señal para distinguirlos es comparar a quién pertenece cada cuenta y su correo.

Lee la tabla de cuentas homónimas.

Los administradores del dominio son las cuentas con más alcance. Antes de confiar entre directorios se cuentan, porque cada una es una puerta que el otro lado hereda en el peor caso. La cifra total no dice quién es legítimo, pero dimensiona la revisión.

Suma los administradores de los dos directorios.

Con autenticación selectiva, que una cuenta del otro directorio sea reconocida no basta: además hay que autorizar de forma expresa cada servidor al que puede entrar. Es la diferencia entre abrir un edificio entero y entregar la llave de una oficina. Cuesta más trabajo de configuración y se paga en menos superficie expuesta, sobre todo en una transición donde nadie conoce todavía los hábitos de la otra empresa.