使用操作和角色扩展Active Directory安全性

Question

我们正在构建一个使用集成Windows身份验证的Intranet应用程序。该应用程序需要自定义操作和角色来保护不同的部件和功能。

我目前的想法是通过将角色和操作存储在使用SID链接到活动目录用户的不同数据库中来扩展活动目录。这样我们就可以知道用户是谁并从我们的数据库中获取他允许的角色（使用操作）而没有太多麻烦。

你认为这是一个好方法还是有更好的方法来处理这些事情？

我已阅读此帖：User Group and Role Management in .NET with Active Directory
但Active Directory不支持以编程方式创建角色，并且不支持任何自定义操作。

Answer 1

我想到了几个选择：

• 您可以将ADAM（也称为AD LDS）用于角色存储 - 编程模型与AD相同，这很不错;
• 您可以使用AzMan（也称为授权管理器） - 它与ASP.NET很好地集成，您可以将它与内置角色提供程序一起使用。它可以将数据存储在XML或AD中。此外，EntLib附带一个AzMan包装器，因此您可以使用另一种方式。我非常喜欢AzMan，因为您可以动态更改用户角色。