Khái niệm Trust Relationship
Trong an ninh mạng, đặc biệt là môi trường Active Directory (AD), mối quan hệ tin cậy (trust relationship) là một liên kết logic giữa hai domain cho phép người dùng và nhóm trong domain này được xác thực và truy cập tài nguyên trong domain kia. Domain tin cậy (trusting domain) chấp nhận xác thực từ domain được tin cậy (trusted domain).
Các loại Trust Relationship trong Active Directory
- Two-way trust (Hai chiều): Cả hai domain đều tin cậy nhau. Mặc định giữa các domain trong cùng một forest.
- One-way trust (Một chiều): Chỉ một domain tin cậy domain kia. Thường dùng giữa forest riêng biệt hoặc với domain bên ngoài.
- Transitive trust (Truyền tiếp): Nếu A tin cậy B và B tin cậy C, thì A tự động tin cậy C. Mặc định trong forest AD.
- Non-transitive trust (Không truyền tiếp): Chỉ áp dụng giữa hai domain cụ thể, không mở rộng. Ví dụ: trust với NT 4.0 domain hoặc realm Kerberos (MIT).
- Forest trust: Giữa hai forest AD, cho phép chia sẻ tài nguyên toàn forest.
- External trust: Giữa domain AD và domain ngoài forest (ví dụ: NT 4.0, AD khác).
- Realm trust: Giữa AD và Kerberos realm (Linux/Unix).
Cơ chế hoạt động: Kerberos và Domain Controller
Kerberos là giao thức xác thực mặc định trong AD. Quy trình:
- User đăng nhập, client yêu cầu Ticket Granting Ticket (TGT) từ Domain Controller (DC) của domain mình.
- Khi truy cập tài nguyên ở domain kia, client trình TGT để xin Service Ticket từ DC của domain tài nguyên (nhờ trust relationship).
- DC domain tài nguyên kiểm tra trust, xác thực TGT và cấp Service Ticket.
- Client dùng Service Ticket để truy cập tài nguyên mà không cần đăng nhập lại (Single Sign-On).
Domain Controller lưu trữ khóa bí mật (shared secret) để thiết lập kênh bảo mật giữa các domain (trust password).
Cách kiểm tra và tạo Trust Relationship
Kiểm tra trust (GUI)
- Mở
Active Directory Domains and Trusts. - Chuột phải domain > Properties > tab Trusts.
- Chọn trust > Properties > Validate.
Tạo trust mới (New Trust Wizard)
- Mở
Active Directory Domains and Trusts. - Chuột phải domain > Properties > Trusts > New Trust.
- Nhập DNS name của domain đối tác > Next.
- Chọn loại trust: Forest, External, Realm... > Next.
- Chọn hướng: Two-way, One-way incoming, One-way outgoing.
- Chọn phía áp dụng: This domain only hoặc Both this domain and the specified domain.
- Xác thực: Domain-wide authentication (mặc định) hoặc Selective authentication.
- Nhập trust password (cùng dùng cho cả hai bên) > Next > Finish.
Vấn đề thường gặp: "Trust relationship failed"
Lỗi "The trust relationship between this workstation and the primary domain failed" xảy ra khi:
- Mật khẩu máy tính (computer account password) trong AD không khớp với mật khẩu cục bộ (thường do restore snapshot, clone VM, join domain trùng SID).
- Máy tính ngắt kết nối domain quá lâu (mặc định đổi mật khẩu 30 ngày).
Cách khắc phục
- Đăng nhập local admin.
- Rời domain > join workgroup > reboot.
- Join lại domain bằng tài khoản có quyền.
- Hoặc dùng PowerShell:
Reset-ComputerMachinePassword -Server DC01 -Credential Domain\Admin.
Zero Trust: Xu hướng thay thế Trust Relationship truyền thống
Mô hình Zero Trust giả định "không tin cậy mặc định, luôn xác thực". Thay vì tin cậy dựa trên vị trí mạng (domain trust), Zero Trust yêu cầu:
- Xác thực đa yếu tố (MFA) cho mọi yêu cầu truy cập.
- Kiểm soát truy cập dựa trên identity, device health, least privilege.
- Phân đoạn vi mô (micro-segmentation) mạng.
- Giám sát liên tục (continuous monitoring) và phân tích hành vi.
Zero Trust khắc phục nhược điểm của trust relationship truyền thống: lateral movement, credential theft, insider threat.
Tóm tắt
Trust relationship là nền tảng của quản trị danh tính tập trung trong AD, cho phép SSO và chia sẻ tài nguyên cross-domain. Tuy nhiên, trong bối cảnh hiện đại (cloud, remote work, BYOD), mô hình Zero Trust đang dần thay thế để giảm bề mặt tấn công và tăng cường bảo mật.