можно ли сделать предприятие AD прозрачным для существования местного механизма кебероса?

Question

У нас уже есть пользователи на предприятии AD, и мы хотим, чтобы билет kerberos был создан для этих пользователей с локального сервера kerberos вместо службы kerberos в самом AD.

цель этого мы хотим, чтобы сделать предприятие AD прозрачным для exixtence механизма керберос

подход, который мы имеем в виду is--

у нас есть 3 коробки:

1. Предприятие AD
2. местный AD со встроенными кеберонами
3. Блок управления доступом на основе ролей

Flow, что мы thinking--

1. RBAC окно получит запрос пользователя для аутентификации и авторизации
2. вместо запроса переадресации на предприятии AD, RBAC коробка пересылает запрос к нашему местному AD с вложенным Керберос.
3. теперь локальный AD с внедренными kerberos запрашивает предприятие AD для аутентификации пользователей.
4. Успех аутентификации, местный AD с кеберосом генерирует билет и отправляет ответ обратно в поле RBAC, которое либо разрешает/запрещает услуги пользователю.

Мы не знаем, можно ли это сделать, если возможно, пожалуйста, направляйте нас или предложите подход для достижения того же.

Благодаря

Answer 1

Если предприятие AD и местные ADs организованы как Форрест, то можно было бы реализовать этот сценарий с использованием «аутентификации кросс-области действия»: https://technet.microsoft.com/en-us/library/cc773178%28v=ws.10%29.aspx