信任关系决定跨域可达
域与林之间的信任关系决定了一个域的用户能不能被另一个域接受，以及跨域访问能走多远。信任方向、是否传递、是否配置了筛选，共同决定实际的可达范围。梳理的目标是画出信任拓扑并给出评估：每条信任是否仍然必要、跨域访问的业务需求是什么、筛选措施是否真的启用。
基本信息
| 核查对象 | 信任清单、方向、传递性、筛选设置 |
|---|---|
| 评估重点 | 跨域访问是否必要、范围是否最小 |
| 输出 | 信任拓扑图与风险说明 |
| 变更影响 | 信任调整影响面广，通常只给建议不直接改 |
| 历史遗留 | 并购与历史项目常留下不再需要的信任 |
典型使用场景
- 集团与子公司评估：梳理跨域信任带来的实际可达范围
- 并购后整合：清理合并过程中临时建立的信任关系
- 权限路径分析：为跨域权限问题提供拓扑依据
- 合规核查：确认跨域访问有对应的业务与审批依据
- 变更前评估：调整或移除信任前核对使用方
梳理步骤
梳理步骤
1. 收集信任清单，记录方向、传递性与用途
2. 核对筛选措施的实际启用状态
3. 评估跨域访问的业务必要性、涉及账号范围
4. 标注历史遗留与无明确用途的信任关系
5. 输出信任拓扑与管理建议，不直接调整配置信任属性与含义
| 属性 | 含义 | 评估关注点 |
|---|---|---|
| 方向 | 单向或双向信任 | 双向影响面更大 |
| 传递性 | 是否向下一级传递 | 传递会放大可达范围 |
| 筛选 | 对访问范围做限制 | 确认是否真的启用 |
| 用途 | 业务或历史原因 | 无用途的信任应评估移除 |
信任关系变更影响广：报告只给评估与规划建议，实施要与目录服务团队一起安排窗口。
把历史信任直接判为风险并不严谨：先核对业务用途与筛选配置，再决定是保留、收紧还是移除。