Проверка подлинности AD между лесами - группы отсутствуют в PAC

У меня есть установка Active Directory, состоящая из двух лесов:

• 1 многодоменный лес с 1 корневым доменом леса и 2 прямыми дочерними доменами
• 1 однодоменный лес для публикации DMZ

Я создал 3 исходящих доверительных отношения в домене DMZ, 1 транзитивное доверие леса против корневого домена леса и 2 внешних нетранзитивных доверительных отношения (также называемых сокращенными доверительными отношениями).

Все DC во всех четырех доменах являются серверами глобального каталога.

Я попытался представить это ниже:

Теперь вот в чем проблема. Когда я предоставляю доступ к ресурсу в dmzRoot.tld группе безопасности в childA домен, он работает для пользователей в childA которые входят в группу безопасности, но не для пользователей в childB домен, даже если они являются членами группы безопасности в childA.

Допустим, я хочу предоставить локальному администратору доступ к рядовому серверу в dmzRoot.tld например. я добавить childA.ForestRoot.tld\dmzAdministrators в локальную встроенную группу администраторов на рядовом сервере.

childA.ForestRoot.tld\dmzAdministrators состоит из следующих членов:

• childA \ dmzAdmin
• childB \ superUser

Теперь, если я аутентифицируюсь как childA\dmzAdmin, Я могу войти на рядовой сервер как локальный администратор, и если я посмотрю на вывод whoami /groups, то childA.ForestRoot.tld\dmzAdministrators группа четко указана.

Если я аутентифицируюсь как childB\superUser однако я получаю сообщение о том, что учетная запись не авторизована для удаленного входа в систему. Если я проверю whoami /groups для childB\superUser счет, childA.ForestRoot.tld\dmzAdministrators группа НЕ указана.

Это почти похоже на childA групповые SID никогда не включаются в PAC при аутентификации childB пользователи, даже если все DC являются GC.

Я отключил проверку PAC на машине в dmzRoot.tld, на которой я ее тестировал, но это не помогло.

Любые предложения относительно того, как я могу эффективно устранить эту проблему? Как мне проследить за аутентификацией, чтобы определить, где она не работает?