Active Directory：跨域验证密码但保留原域用户对象属性

环境与核心需求梳理 #

• 现有环境：部门AD域A已添加UNIX属性，稳定支持Solaris（LDAP）、Linux（SSSD）及Windows系统；学校AD域B包含所有用户但无UNIX属性；用户在两个域拥有独立密码。
• 核心需求：统一使用域B的密码完成登录验证，同时保留使用域A中用户对象的UNIX属性（UID、组、驱动器映射等）。
• 疑问：常规AD信任是否无法满足该需求？

对AD信任局限性的解答 #

是的，常规AD信任关系确实无法直接实现这个需求。因为AD信任的核心逻辑是：当用户从域A客户端提供域B的凭证登录时，域A会通过信任链将验证请求转发至域B，验证通过后会返回域B的用户对象属性——而域B没有所需的UNIX属性，且信任关系不会自动关联域A中同名用户的属性，最终会导致客户端无法获取到必要的UNIX架构信息。

可行解决方案 #

方案1：域A用户配置外部身份验证

这是最贴合需求的方案，无需改动信任关系核心逻辑，让域A用户对象使用域B的密码验证，同时保留自身属性：

• AD端操作：针对域A中的目标用户，通过msDS-ExternalDirectoryObjectID属性绑定域B用户的SID，或配置用户的UPN关联域B的用户主体名称，将身份验证指向域B的AD服务器。
• Linux/SSSD客户端配置：修改sssd.conf，让验证请求转发至域B，但属性查询强制指向域A。示例片段：

[domain/A]
id_provider = ad
auth_provider = ad
ad_server = domainB.example.com
# 强制从域A读取UNIX属性
ldap_search_base = OU=DeptUsers,DC=A,DC=corp,DC=com
ldap_user_uid_number = uidNumber
ldap_user_gid_number = gidNumber

• Windows客户端：通过组策略配置，允许用户使用域B的UPN登录域A，同时确保用户配置文件、驱动器映射等依赖的属性从域A读取。

方案2：单向密码哈希同步

通过AD Connect或第三方同步工具，将域B的用户密码哈希同步到域A的同名用户对象中：

• 配置单向同步：仅同步域B的密码哈希至域A用户，用户登录域A时直接使用域B的密码，所有属性仍从域A读取。
• 注意事项：需确保域B的AD允许密码哈希导出，同步工具具备相应权限，同时做好安全审计与哈希加密保护。

方案3：自定义验证脚本（非Windows客户端）

针对Solaris/Linux客户端，可通过自定义PAM模块或SSSD钩子实现拆分逻辑：

• Linux端：修改PAM配置，添加自定义验证模块，先向域B的AD发起密码验证，验证通过后从域A的LDAP服务器读取UNIX属性。
• Solaris端：调整LDAP客户端配置，将验证服务器指向域B，属性查询服务器指向域A。

内容的提问来源于stack exchange，提问作者Andrew Watkins