Externe Vertrauensstellung - Authentifizierungsfrage

Hi Community,

ich habe in einer Testumgebung folgendes Szenario erstellt:

Forest A (W2K3 Mode)
Forest B (W2K3 Mode)

Ausgehende, einseitige Vertrauensstellung (extern) von Forest B zu Forest A mit ausgewählter Authentifizierungsart über IPSec-Tunnel. Umgebung funktioniert einwandfrei, keine Probleme mit DNS, Namenssuffix wird sauber geroutet.

Nun das Verständnisproblem:

Ich habe einen Server in Forest B auf den nun ein User aus Forest A via RDP zugreifen darf. Ich habe ihn lokal entsprechend berechtigt (Benutzer & RDP-Benutzer), wird sauber eingefügt. Die Verbindung kommt aber nicht zustande, folgende FM erscheint:
"Anmeldefehler: Der Computer, an dem Sie sich anmelden, ist durch eine Authentifizierungsfirewall geschützt. Das angegebene Konto darf sich nicht an diesem Computer anmelden."

Als Workaround habe ich nun die Authentifizierung des Trust auf "Domänenweite Authentifizierung" gestellt. Die Berechtigungen auf dem Zielserver wurden NICHT angepasst. Anmeldung erneut versucht und siehe da, er kam nun sauber drauf.

Meine Frage: Welche Unterschiede im Detail bestehen zw. den beiden Auth.arten? Bitte keine Antworten im Sinne "der User kann ja nun auf die domänenweiten Ressourcen zugreifen", das ist mir schon klar. Welche Zugriffe im Einzelnen werden, bspw. für diese RDP-Session, in der Domäne denn benötigt? Ich habe gesucht, aber nichts gefunden. Sind das Berechtigungen, Privilegien? Und wo sind die gesetzt?


Hier noch die Logs aus dem Eventviewer des betreffenden Servers...

Erfolgreiche Anmeldung bei dom.weite Auth.:
"
Einer neuen Anmeldung wurden besondere Rechte zugewiesen.

Antragsteller:
Sicherheits-ID: INTDOM\User
Kontoname: User
Kontodomäne: INTDOM
Anmelde-ID: 0xcb8bc

Berechtigungen: SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeBackupPrivilege
SeRestorePrivilege
SeDebugPrivilege
SeSystemEnvironmentPrivilege
SeImpersonatePrivilege
"

Fehler bei selektive Auth.:
"
Fehler beim Anmelden eines Kontos.

Antragsteller:
Sicherheits-ID: SYSTEM
Kontoname: SERVER$
Kontodomäne: EXTDOM
Anmelde-ID: 0x3e7

Anmeldetyp: 10

Konto, für das die Anmeldung fehlgeschlagen ist:
Sicherheits-ID: NULL SID
Kontoname: USER
Kontodomäne: INTDOM

Fehlerinformationen:
Fehlerursache: Bei der Anmeldung ist ein Fehler aufgetreten.
Status: 0xc0000413
Unterstatus:: 0x0

Prozessinformationen:
Aufrufprozess-ID: 0x508
Aufrufprozessname: C:\Windows\System32\winlogon.exe

Netzwerkinformationen:
Arbeitsstationsname: SERVER
Quellnetzwerkadresse: 10.1.1.10
Quellport: 52152

Detaillierte Authentifizierungsinformationen:
Anmeldeprozess: User32
Authentifizierungspaket: Negotiate
Übertragene Dienste: -
Paketname (nur NTLM): -
Schlüssellänge: 0
"


Danke & schönes WE,
Mac