在大中型企业中，随着业务的扩展，子公司和分公司日益增多，如果公司网络采用Windows系统进行管理，单域模式已经不满足企业的需求，在这种情况下可以根据企业的行政划分实行分级管理，设置多个域来组织企业的网络。但是当多个域之间是独立的时候，一个域中的用户是无法访问另一个域中的资源的，因此为了简化企业管理，解决用户跨域访问资源的问题，可以在域（或林）之间建立信任关系。
1 Windows 域信任关系概述
信任关系是在Windows的域（或林）之间建立的关系，它可以使一个域（或林）中的用户由另一个域（或林）中的域控制器来进行验证，实现同一个林中的跨域访问和不同林之间的跨域访问，从而为企业不同部门之间的资源互访提供便利.
Windows域信任关系分为林中的信任关系和林之间的信任关系两种类型。
1.1 林中的信任关系
林中的信任关系是指在同一个林内部自动创建的信任关系，并且具备可传递、双向的特征，当在一个林中添加域树或子域后，林中所有域之间的信任关系就会自动创建.
1.2 林之间的信任关系
林之间的信任关系可分为外部信任和林信任。外部信任是指在不同林的域之间手动创建的不可传递的信任；林信任是指在任一林中的各个域之间手动创建的单向的或双向的可传递的信任关系.外部信任为不同林中的不同域之间跨域访问资源提供了方法，但如果两个林中分别有多个域，就需要创建多个外部信任，增加了操作的复杂性，简单的方法是只要在林根域之间建立林信任关系，而不需要创建多个外部信任，因为林信任是可传递的。
2 域信任关系在企业管理中的应用
2.1 林中的信任关系
在企业管理中的应用某公司采用Windows域环境进行管理，总公司的域名为abc.com,公司有两个分公司，域名分别为aa.abc.com和bb.abc.com,把它们作为根域abc.com的子域，只要确立好是父子关系后，他们之间的信任关系也就确立了，也就能实现总公司和分公司之间资源互访。首先子域bb.abc.com会与根域建立起互相信任的双向关系，同时因为根域也信任子域aa.abc.com,由于在同一林中域的信任是会自动传递的，所以子域bb.abc.com与子域aa.abc.com也是相互信任的.如图1所示，箭头表示信任关系。
在林A中添加子域aa.abc.com 和bb.abc.com后，林中所有域之间的信任关系就会自动创建。操作步骤如下：1）在新服务器上运行“dcpromo”命令，在欢迎向导界面中选择“使用高级模式”安装，单击下一步按钮；
2）根据安装向导提示进入“选择某一部署配置”界面。逐层选择“现有林”、“在现有林中新建立域”,单击“下一步”;如图2所示。【图2】
3）在“网络凭据”界面中输入目标林中已存在域的名称，设置用于执行安装的帐户凭据，单击“下一步”;如图3所示。【图3】
4）在“命名新域”界面中，输入父域的FQDN及子域的名称，单击“下一步”;如图4所示。【图4】
5）按照安装向导提示，完成剩余的安装，然后重启服务器即可。
用同样的方法可以自动创建域abc.com和域bb.abc.com之间的信任关系。完成安装后，在“Active Directory域和信任关系”管理控制台中可以查看到域abc.com和域aa.abc.com、域bb.abc.com之间是父子信任关系。
2.2 林信任关系在企业管理中的应用
林信任是Windows Server 2003林和Windows Server 2008林特有的信任，创建林信任可为任一林中的各个域之间提供一种单向或双向的可传递信任关系。两个公司分别具有不同的林根域abc.com和林根域xyz.com,域aa.abc.com和域bb.abc.com是林根域abc.com子域，域cc.xyz.com是林根域xyz.com子域，要实现两个林中所有域资源互访，只要在林根域abc.com和林根域xyz.com之间建立林信任就可以。如图5所示。首先分别在两个林根域的DNS中设置辅助区域用于解析对方地址，或者增加第三台DNS服务器对两个林根域进行解析，然后创建可传递的林信任关系。【图5】
具体操作步骤如下：
1）打开“Active Directory域和信任关系”管理控制台，右击域名“xyz.com”,在弹出菜单中选择“属性”,在弹出的属性界面中打开“信任”选项卡，单击“新建信任”,打开“新建信任向导”,在“信任名称”界面中，输入对方林根域的名称，此例中为“abc.com”,单击“下一步”.如图6所示。【图6】
2）在“信任类型”界面中，选择“林信任”;在“信任方向”界面中，选择“单向：外传”;在“信任方”界面中，选择“此域和指定域”.
3）在“用户名和密码”界面中，输入指定域有管理权限的用户名和密码，单击“下一步”.如图7所示。【图7】
4）在“传出信任身份验证级别--本地林”界面中，选择“全林身份验证”,单击“下一步”,直至完成。如图8所示。信任创建完成后，在两个域的DC上打开“Active Directory域和信任关系”.域abc.com为林内向信任，被域xyz.com信任，信任可传递；域xyz.com为林外向信任，信任域abc.com,信任可传递。【图8】
2.3 运用AGDLP规则赋权限，实现跨域访问资源
信任关系的建立为跨域访问资源提供了前提条件，但要成功访问资源还必须设置权限。AGDLP规则是指先将用户帐户加入到全局组，然后将全局组加入本地域组，最后再给本地域组赋予相应的权限。A表示帐户（Account）、G表示全局组（Global Group）、DL表示本地域组（Domain Local Group）、P表示赋予权限（Permission）.
若域abc.com中的财务部用户UserA和UserB需要访问域xyz.com的共享文件夹“soft”,具体操作步骤如下：
1）在域abc.com的DC上创建全局组global_fina,并将用户帐户UserA和UserB加入到该组中。
2）在域xyz.com的DC上创建本地域组local_fina,然后在其“属性”界面中打开“成员”选项卡，单击“添加”按钮，打开“选择用户、联系人、计算机或组”界面，单击“查找范围”,在打开的“位置”界面中，选择“abc.com”,然后单击“确定”按钮。
3）返回“选择用户、联系人、计算机或组”界面，输入全局组名称“global_fina”,然后单击“确定”按钮。如图9所示。【图9】
4）在文件夹soft上赋予本地域组local_fina相应的读取权限。设置完成后，用户UserA 和UserB就可以通过登录本域内的计算机访问共享文件夹soft了，或者用户UserA和UserB也可以使用xyz.com的计算机登录访问共享文件夹soft,但在登录时需要注明帐户为域abc.com的帐户，而不是默认xyz.com的帐户。如图10所示。
从以上实验数据分析可以得到如下结论：
1）对于单关键词的中文检索，在精确含义词汇检索中本文方法与传统方法差异不大，而在广义或者模糊含义词汇的检索中，该文方法能够检索出更多有价值的信息，查准率更高；2）对于单关键词的英文检索，只能检索到包含相同英文字母的信息，不能获得其真实本意不能查到相关中文信息，其命中率和查准率都比较低，而本文方法则能够取得较为满意的结果；3）对于多特征中英文混合检索，仅仅靠关键词匹配的传统检索搜索出的结果不能令人满意，而本文方法同样达到了比较高的准确率，结果令人满意；4）对于语义方式表述的特征样本，该文方法能够检索出有价值的数据，并且查准率较高，而相反在传统检索方法中，由于没有出现直接关键词，故无法获得检索结果。
参考文献：
[1] Bartoli Adrien, A Random Sampling StrategyFor Piecewise Planar Scene Segmentation[J]. Computer Vision and Image Understanding,2007, 105（1）： 42-59.
[2] 叶昭辉，杨高峰，杨岳湘。一种基于潜在语义分析的中文网页自动摘要方法[J].广西大学学报：自然科学版，2012,37（2）：342-345.
[3] 蔡嘉诚。潜在语义索引技术在知识产权专家库中的研究与应用[D].苏州大学硕士论文，2010.04.
[4] 杨文清。基于Web文档库的中文全文检索技术与实现[D].南京大学计算机科学与工程系硕士论文，1998.
[5] Ishii,Murai,Yamada.Text Classification by combining Grouping[J],LSA and KNN,Computer and Information Science,July 2006:148-154.
[6] Sudarsun.S,Venkatesh Prabhu.G Sathish Kumar.V.Role of weighting on TDM in Improvising PerformanceofLSA on TbXt Data[C],Annual India Conference,2006,Sept.2006:1-6.
[7] 余正涛，樊孝忠，郭剑毅，等。基于潜在语义分析的汉语问答系统答案提取[J].计算机学报，2006,29（10）：1889-1893.
[8] 盖杰，王怡，武港山。基于潜在语义分析的信息检索[J].计算机工程，2004（30）。
[9] 戚涌，徐永红，刘凤玉。基于潜在语义标引的Web文档自动分类[J].计算机工程与应用，2004（22）：28-31.
