TFSSecurity не может разрешить личность

Я пытаюсь использовать TFSSecurity для настройки безопасности на нашем новом экземпляре TFS 2017. Он отлично работает, когда я тестирую его, добавляя учетные записи локальных пользователей на сервере TFS в группу TFS, но не удается, как только я перехожу к попытке добавить группы домена или счета. Вот команда и результаты, которые я получаю:

PS C:> & "E: \ TFS 2017 \ Tools \ tfssecurity.exe" / g + "n: [Project1] \ Contributors" n: "DOMAIN1 \ TFS-Developers" / collection: http://mytfsserver:8080/tfs/PrimaryCollection

Microsoft (R) TFSSecurity - средство обеспечения безопасности Team Foundation Server. Copyright (c) Корпорация Майкрософт. Все права защищены.

Целевым Team Foundation Server является http://mytfsserver:8080/tfs/PrimaryCollection.

Разрешение идентичности "n: [Project1] \ Contributors"...
[A] [Project1] \ Участники

Разрешаем тождество "n:DOMAIN1\TFS-Developers"...

Ошибка: идентификация не может быть решена.

Я запускаю эту команду, используя учетную запись на DOMAIN1, которая может видеть группу в Active Directory Users and Computer, поэтому кажется, что у нее не должно быть проблемы, решающей проблему идентификации. Однако сервер не подключен к сети на DOMAIN1. Он присоединен ко второму домену под названием DOMAIN2, который имеет одностороннее доверие с DOMAIN1. Я подозреваю, что это может быть причиной проблемы, но я не уверен, как обойти ее, если она есть, или как диагностировать проблему, чтобы точно знать это. Есть идеи?

Источник

2 ответа

Решение

Оказалось, что это вовсе не проблема доверия к домену. Я использовал неправильные имена групп. Очень неловко, но хорошее напоминание, чтобы проверить глупости, прежде чем предположить, что это что-то сложное.

Источник

Вам лучше сделать так, чтобы 2 домена доверяли друг другу. В частности, когда вы доверяете только одному способу. В вашем сценарии domain2 должен доверять domain1 и уделять внимание тому, что упомянуто в этой теме:

учетная запись TFSSERVICE обычно должна быть пользователем в более доверенном лесу. Поскольку учетным записям из менее доверенного леса не разрешается запрашивать эту информацию из более доверенного леса, вы не можете добавлять пользователей из более доверенного леса, когда учетная запись TFSSERVICE происходит из менее доверенного леса.

Вот блог о добавлении пользователя из другого домена: http://blogs.agorainc.com/post/External-User-in-Team-Foundation-Server-(TFS)-with-Active-Directory.aspx

Источник
Другие вопросы по тегам