Проверяет ли авторизация в web.config подгруппы?

Question

Если я добавлю что-то подобное в web.config моего веб-приложения ASP.NET:

   <authorization>
       <allow roles="MyUsers" />
       <deny users="*" />
   </authorization>

, а затем группа ActiveDirectory SpecialGroup, которая находится внутри MyUsers, будет ли разрешено члену SpecialGroup доступ к моему приложению?

Answer 1

Да, будет. Когда вы входите в систему, создается токен безопасности, содержащий сведения обо всех группах, в которые вы входите, и включает все вложенные группы. Этот токен используется для определения доступа. Вот почему вы должны выходить из системы и включаться при добавлении в группу.

Но, чтобы быть уверенным, я протестировал его на одном из своих сайтов, и он работал, как описано.

¹ на самом деле, возможно быть в таком количестве групп, что они не будут все вписываться в токен (который имеет ограниченный размер), и в этом случае ваш токен содержит первые 'n' группы (которые зависят от порядка возвращается контроллером домена, поэтому вы можете увидеть странное поведение).