信頼関係 Trust Relationship
０．改定履歴
- 1997.09.25 初版
- 1998.03.20 HTML化と加筆
- 1998.04.25 信頼関係の上限の明記
１．はじめに
このドキュメントは，WindowsNTで構成する複数のドメイン間でのユーザ，グループのアクセスに関わる複雑で難解な問題である，“信頼関係”を理解するためにまとめた物である． 前提として，あらかじめドキュメント「信頼関係を利用したドメインモデル」を参照し理解しておくことが必要である．
２．信頼関係の基本
信頼関係とは，2つのドメインのアクセス権限のリンクである． これを図にすると次のようになる．
この場合，Domain Aは，Domain Bを信頼しているので，Domain Bに所属するUser DからDomain Aへ(信頼：信用しているから)アクセスすることが出来ると言うことになる．
この場合，User DはDomain Aへアクセスできるが，User CはDomain Bへアクセスできない． これは，Domain Bは他の誰も信頼(信用)していないからである．
User CがDomain Bへアクセスするには，もう１つ信頼関係が必要になる． これを図にすると，次のようになる．
この状態を“相互信頼”と呼ぶか否かは知らない．
２．信頼されるということ
信頼されるということ．．．何のメリットが有るのだろうか．
信頼されると，信頼した側へのネットワーク資源にアクセスする事ができる． これを図にすると，次のようになる．
この図では，たとえばファイル共有へのアクセスを行なっているが，資源の対象がプリンタであったりする．
信頼関係を結んでないドメインの場合，アクセス権限を設定することが出来ない． ドメインとは，そもそも“ユーザとコンピュータを管理する１つの単位”なわけなので，複数の管理はデフォルトでは出来ないのである．
つまり現実社会で比喩するならば，山田チームリーダ(ドメイン管理者)は，自分のチームに所属する河田へ仕事(アクセス権限)を与えることが出来るが，谷田チームリーダ(異なるドメインの管理者)管理下の岡田へ仕事は依頼できない． しかし，谷田が山田を信用(信頼関係)していて任せることが出来る権限を持っているのであれば，山田は岡田へ仕事の依頼を行なうことが出来る．
３．応用
信頼関係を結べば，物理的な管理が別(管理者が別)であっても細かな(逆に言えば複雑な)管理が可能になる． そしてそれぞれのドメインのアカウントを作成する必要がなくなる．(ドキュメント「特権ログオン」を参照)
しかし，この３つ程度のドメインであれば，理解の範囲内だが，それ以上になると通常管理出来なくなると思われるので将来的な部分を考えたドメインモデルの設計を行なわなければならない．
と，いっても幾つか設置してみて問題が出てきた部分を改善していかないと本来の“あるべき姿”は出てこない． とりあえずは適度に運用してみて後々考えていくしかないとおもわれる． それがこの分野で絶対的な解決を示す文献が無い理由でもある．
４．信頼関係の上限
信頼関係については，以下のような制約がある．
| 形態 | 制限 |
|---|---|
| 信頼する数 | 128 |
| 信頼される数 | 無限 |
