TFSSecurity не может определить личность

Я пытаюсь использовать TFSSecurity для настройки безопасности в нашем новом экземпляре TFS 2017. Он отлично работает, когда я тестирую его, добавляя локальные учетные записи пользователей на сервере TFS в группу TFS, но терпит неудачу, как только я перехожу к попытке добавить группы домена или учетные записи. Вот команда и результаты, которые я получаю:

PS C:> & "E: \ TFS 2017 \ Tools \ tfssecurity.exe" / g + "n: [Project1] \ Contributors" n: "DOMAIN1 \ TFS-Developers" / collection: http://myTfsServer:8080/tfs/PrimaryCollection

Microsoft (R) TFSSecurity - Инструмент безопасности Team Foundation Server Авторские права (c) Корпорация Microsoft. Все права защищены.

Целевой сервер Team Foundation Server - http://myTfsServer:8080/tfs/PrimaryCollection.

Разрешение идентификации "n: [Project1] \ Contributors" ...
[A] [Project1] \ Contributors

Разрешение идентификации "n: DOMAIN1 \ TFS-Developers" ...

Ошибка: идентификация не может быть определена.

Я запускаю эту команду, используя учетную запись в DOMAIN1, которая может видеть группу в Active Directory Users and Computer, поэтому кажется, что у нее не должно быть проблем с разрешением идентификации. Однако сервер не подключен к сети на DOMAIN1. Он присоединен ко второму домену под названием DOMAIN2, который имеет одностороннее доверие с DOMAIN1. Я подозреваю, что это может быть причиной проблемы, но я не уверен, как ее обойти, если это так, или как диагностировать проблему, чтобы знать это наверняка. Любые идеи?


tfs active-directory tfs-security
person Chris    schedule 05.04.2017    source источник

Ответы (2)


arrow_upward
1
arrow_downward

Лучше сделать два домена доверенными друг другу. В частности, когда вы доверяете только в одну сторону. В вашем сценарии домен 2 должен доверять домену 1 и уделять внимание тому, что указано в этом ветка:

учетная запись TFSSERVICE обычно должна быть пользователем в более истинном лесу. Поскольку учетным записям из менее доверенного леса не разрешено запрашивать эту информацию из более достоверного леса, вы не можете добавлять пользователей из более надежного леса, если учетная запись TFSSERVICE поступает из менее надежного леса.

Вот блог о добавлении пользователя из другого домена: http://blogs.agorainc.com/post/External-User-in-Team-Foundation-Server-(TFS)-with-Active-Directory.aspx

person Tingting0929    schedule 06.04.2017

arrow_upward
0
arrow_downward

Оказалось, что это вовсе не проблема доверия к домену. Я использовал неправильные названия групп. Очень неловко, но это хорошее напоминание о том, что нужно проверить глупости, прежде чем вы решите, что это что-то сложное.

person Chris    schedule 22.06.2017