Расширение безопасности Active Directory с помощью действий и ролей

Question

Мы создаем приложение для внутренней сети, которое будет использовать встроенную проверку подлинности Windows. Приложению потребуются настраиваемые действия и роли для защиты различных частей и функций.

Моя текущая идея заключается в расширении активного каталога путем сохранения ролей и действий в другой базе данных, связанной с пользователем активного каталога с помощью SID. Таким образом, мы узнаем, кто пользователь, и получим его разрешенные роли (с действиями) из нашей базы данных без особых хлопот.

Как вы думаете, это хороший подход или есть лучшие способы справиться с этими вещами?

Я прочитал этот пост: Управление группами пользователей и ролями в .NET с Active Directory
Но Active Directory не поддерживает программное создание ролей и вообще не поддерживает настраиваемые действия.

Answer 1

На ум приходит пара вариантов:

• вы можете использовать ADAM (он же AD LDS) для вашего хранилища ролей - модель программирования такая же, как AD, что приятно;
• Вы можете использовать AzMan (он же Authorization Manager) - он прекрасно интегрируется с ASP.NET, и вы можете использовать его со встроенным поставщиком ролей. Он может хранить свои данные в XML или в AD. Кроме того, EntLib поставляется с оболочкой AzMan, так что вы можете использовать ее по-другому. Мне очень нравится AzMan, потому что вы можете вносить изменения в роли пользователя на лету.