Windows™ Configuration de la connexion unique pour les clients Web dans plusieurs domaines Active Directory

L'administrateur Windows™ doit utiliser le composant logiciel enfichable Domaines et approbations Active Directory pour configurer des relations d'accréditation au niveau des forêts entre les domaines. Les relations d'accréditation externes ne prennent pas en charge l'authentification Kerberos et ne peuvent pas être utilisées. Consultez la documentation de Microsoft™ pour obtenir des informations sur la configuration des relations d'accréditation.

Notez qu'un domaine parent accrédite implicitement un domaine enfant afin qu'aucune configuration d'accréditation ne soit requise entre les deux. Un domaine enfant est un domaine qui se situe un niveau en dessous d'un autre domaine dans la hiérarchie DNS. Par exemple, ventes.est.audimatique.com est un enfant de est.audimatique.com.

Les types d'accréditation de forêt pris en charges sont les suivants :

• Accréditation de forêt Windows™ bidirectionnelle. Par exemple, s'il existe une accréditation bidirectionnelle entre les forêts A et B, leurs utilisateurs des deux forêts peuvent accéder aux serveurs de l'une ou l'autre.
• Accréditation entrante bidirectionnelle pour une autre forêt. Par exemple, si la forêt A dispose d'une accréditation entrante pour la forêt B, les utilisateurs de la forêt A peuvent accéder aux serveurs de la forêt B. Les utilisateurs de la forêt B ne peuvent pas accéder à la forêt A, sauf si la forêt B dispose aussi de l'accréditation entrante pour la forêt A.
• Accréditation sortante unidirectionnelle pour une autre forêt. Par exemple, si la forêt A dispose d'une accréditation sortante pour la forêt B, les utilisateurs de la forêt B peuvent accéder aux serveurs de la forêt A. Les utilisateurs de la forêt A ne peuvent pas accéder aux serveurs de la forêt B, sauf si la forêt B dispose aussi de l'accréditation sortante pour la forêt A.
• Accréditation transitive. Si les utilisateurs de la forêt A peuvent accéder aux serveurs de la forêt B grâce à une accréditation, les utilisateurs d'un domaine enfant de la forêt A peuvent accéder aux serveurs de la forêt B si l'accréditation entre les forêts A et B est configurée en tant qu'accréditation transitive.

Pour savoir si des relations d'accréditation ont été établies pour vos domaines Active Directory :

Les horloges des serveurs au sein des domaines et d'un domaine à l'autre doivent être aussi synchronisées que possible, car Kerberos (le mécanisme de sécurité sous-jacent de la connexion unique Windows™ pour les clients Web) est sensible à leur dérèglement. Corrigez ces dérèglements chaque fois que cela est possible. Si nécessaire, l'administrateur Windows™ peut exécuter les étapes suivantes pour augmenter la tolérance au dérèglement de l'horloge :

Une fois que la connexion unique Windows™ est établie pour un utilisateur, le serveur Domino® renvoie un jeton LTPA correspondant. Planifiez soigneusement le déploiement de la connexion unique, en vérifiant si les serveurs Domino® partagent la même configuration de connexion unique.

Par exemple, si vous définissez la configuration de la connexion unique des serveurs du domaine "est.audimatique.com" de telle façon qu'ils partagent les mêmes clés de connexion unique que les serveurs du domaine "ouest.audimatique.com", un serveur Est peut accepter un jeton LTPA créé par un serveur Ouest. Dans ce cas, les documents relatifs à la configuration de la connexion unique peuvent utiliser un domaine DNS tel que "audimatique.com".

Cependant, si les serveurs Est et Ouest ne partagent pas les mêmes clés de connexion unique, votre connexion unique est inefficace si vous utilisez un domaine DNS tel que "audimatique.com". Dans ce cas, adaptez votre domaine de connexion unique au domaine DNS Windows™ dans lequel il opère.