ドメイン間の一方向の信頼関係のセキュリティリスク
ベンダーは、ユーザーがドメインの資格情報を使用してアプリケーション/サーバーにログオンできるように、ドメインと私たちの間に一方向の信頼関係を作成するように求めています。
関連するセキュリティリスクは何ですか？私の最初の考えは、要求を拒否し、検証済みのサーバーにアプリケーションをインストールし、ドメインで監視/スキャンすることを主張することです。しかし、私が「そう言ったから」だけではないように、私をバックアップしてくれるものが欲しいです。
編集：彼らのサーバーはここのオンサイトにありますが、独自のドメイン（something.local）にあります。
ベンダーは、一方向の信頼でフォレスト内のリソースにアクセスできないため、環境へのリスクは、AD AD機能レベルでいくぶん最小化されます。
ネットワークレベルでは、ドメインコントローラーとベンダーのドメインコントローラーの間で開く必要があるポートのトラックロードがあります。ドメインコントローラーまたはアプリケーションサーバーが危険にさらされている場合、危険にさらされているベンダーマシンは、ネットワークレベルの直接アクセスを使用してドメインコントローラーを攻撃する可能性があります。
攻撃者は、ベンダーのシステムで認証しているアカウントのハッシュを侵害し、それらの侵害された資格情報を使用して環境にアクセスする可能性もあります。
フェデレーションソリューションは通常、はるかに優れた選択肢です。
ドメイン信頼のセキュリティリスクは、環境が危険にさらされていることで、特権の昇格にsidhistoryを使用できる可能性があります。最も安全なのは、フォレスト間の信頼です。これにより、外国のセキュリティ原則の安全な送信が可能になります（さらに重要なのは、外国と識別される）。選択認証を使用して、適切なFSPのみが許可されるようにすることもできます。
あらゆる種類の信頼に関する間接的な問題の1つは、認証済みユーザーのメンバーシップが認証済みユーザーを意味することです。これには、外部フォレストからの認証済みユーザーが含まれます。