供应商要求我们在其域和我们的域之间build立单向信任关系，以便我们的用户可以使用我们域中的凭据login到他们的应用程序/服务器。
涉及的安全风险是什么？ 我的第一个想法是拒绝这个请求，并坚持要求他们在我们已经validation的服务器上安装他们的应用程序，并且监视/扫描我们的域名。 但是我想有一些东西来支持我，所以这不仅仅是“因为我这样说”。
编辑：他们的服务器位于现场，但在他们自己的域（something.local）。
您的供应商无法以单向信任的方式访问林中的资源，因此您的环境风险在广告ADfunction级别上会有所降低。
在networking层面上，需要在域控制器和供应商域控制器之间打开一大堆的端口。 如果他们的域控制器或应用程序服务器受到攻击，则受损的供应商计算机可能具有直接的networking级访问权限来攻击您的域控制器。
攻击者也可能会破坏在供应商系统上进行身份validation的帐户的散列，并使用这些受威胁的凭据访问您的环境。
联合解决scheme通常是更好的select。
域信任的安全风险是，您的环境受到威胁，可能会使用历史logging来提升权限。 最安全的是交叉森林的信任，因为它允许安全传输外国安全原则（更重要的是，它们被认定为外国）。 您也可以使用select性身份validation来确保只允许正确的FSP。
任何types的信任的间接问题是authentication的用户成员资格意味着已authentication的用户 – 这将包括来自外部林的已authentication用户。