我们可以让企业 AD 对本地 kerberos 机制的存在透明吗？

Question

我们已经在企业 AD 中拥有用户，我们希望从本地 kerberos 服务器而不是 AD 本身中的 kerberos 服务为这些用户生成 kerberos 票证。

我们的目的是让企业 AD 对 kerberos 机制的存在透明

我们正在考虑的方法是--

假设我们有 3 个盒子：

1. 企业广告
2. 带有嵌入式 kerberos 的本地 AD
3. 基于角色的访问控制框

我们正在思考的流程--

1. RBAC 框将接收用户的身份验证和授权请求
2. 代替将请求转发到企业 AD ，RBAC 框将请求转发到具有嵌入式 kerberos 的本地 AD。
3. 现在，带有嵌入式 kerberos 的本地 AD 查询企业 AD 以进行用户身份验证。
4. 身份验证成功后，带有 kerberos 的本地 AD 生成票证并将响应发送回 RBAC 框，该框允许/拒绝向用户提供服务。

我们不知道这是否可以做到，如果可能，请指导我们或提出实现相同目标的方法。

谢谢

Answer 1

如果企业AD和本地AD组织成forrest，那么使用“跨域认证”或许可以实现这个场景：https://technet.microsoft.com/en-us/library/cc773178%28v=ws.10%29.aspx