TFSSecurity kann Identität nicht auflösen

Question

Ich versuche, TFSSecurity zu verwenden, um Sicherheit auf unserer neuen Instanz von TFS 2017 zu konfigurieren. Es funktioniert sehr gut, wenn ich lokale Benutzerkonten auf dem TFS-Server in einer TFS-Gruppe hinzufüge, aber sobald fehlschlägt Ich wechsle zum Versuch, Domänengruppen oder Konten hinzuzufügen. Hier ist der Befehl, und die Ergebnisse erhalte ich:

PS C:> &"E:\TFS 2017\Tools\tfssecurity.exe" /g+ "n:[Project1]\Contributors" n:"DOMAIN1\TFS-Developers" /collection: http://myTfsServer:8080/tfs/PrimaryCollection

Microsoft (R) TFSSecurity - Team Foundation Server Security Tool Copyright (c) Microsoft Corporation. All rights reserved.

The target Team Foundation Server is http://myTfsServer:8080/tfs/PrimaryCollection .

Resolving identity "n:[Project1]\Contributors"...
[A] [Project1]\Contributors

Resolving identity "n:DOMAIN1\TFS-Developers"...

Error: The identity cannot be resolved.

Ich verwende diesen Befehl ein Konto auf DOMAIN1 verwenden, die die Gruppe in Active Directory-Benutzer und -Computer sehen können, so dass es scheint, wie es kein Problem, die Lösung haben sollte Identität. Der Server ist jedoch nicht mit dem Netzwerk auf DOMAIN1 verbunden. Es ist mit einer zweiten Domäne namens DOMAIN2 verbunden, die eine unidirektionale Vertrauensstellung mit DOMAIN1 hat. Ich vermute, dass dies das Problem verursachen könnte, aber ich bin mir nicht sicher, wie ich es umgehen könnte, wenn es das ist oder wie man das Problem diagnostiziert, um das sicher zu wissen. Irgendwelche Ideen?

Answer 1

Dies erwies sich als nicht zu sein Domain-Trust-Problem überhaupt. Ich habe die falschen Gruppennamen verwendet. Sehr peinlich, aber eine gute Erinnerung, um nach dem dummen Zeug zu suchen, bevor Sie annehmen, dass es etwas Kompliziertes ist.

Answer 2

Sie sollten die beiden Domänen vertrauenswürdiger machen. Insbesondere, wenn Sie nur eine einseitige vertrauen. In Ihrem Szenario domain2 domain1 vertrauen muss und zahlen attension an, dass in diesem thread erwähnt:

the TFSSERVICE account must normally be a user in the more truested forest. Since accounts from the less trusted forest are not allowed to query this information from the more truested forest, you are unable to add users from the more trusted forest when the TFSSERVICE account comes from the less trusted forest.

Hier ist ein Blog, dass über den Benutzer aus anderen Domäne hinzufügen: http://blogs.agorainc.com/post/External-User-in-Team-Foundation-Server-(TFS)-with-Active-Directory.aspx