Можно ли ограничить проверку подлинности пользователей Windows в приложении ASPNet для определенных доменов?

Question

Я в процессе загрузки классического приложения ASP в Mvc2.Я буду развертываться в интрасети, и меня попросят включить поддержку аутентификации Windows.Сеть, в которую я буду развертывать, имеет несколько доменов AD, и мне нужно будет только интегрироваться с одним из них.Можно ли использовать проверку подлинности Windows и разрешить проверку подлинности только в определенном домене?

В том же духе, для пользователя нередко иметь учетную запись в нескольких доменах (имена учетных записей, как правило, разные) - в случае, если пользователь входит в систему с «неподдерживаемым» доменомнравится пнуть их в форму входа.Возможно ли это просто с помощью Windows Auth или мне лучше искать альтернативу?

Answer 1

Pro Совет:

Независимо от того, что вы не реализуете аутентификацию Windows через IIS.В приложении MVC есть страница проверки подлинности с помощью форм, но используйте поставщика проверки подлинности LDAP.Таким образом вы избежите различий между тем, как браузеры реализуют аутентификацию Windows (работает хорошо только в IE, и это не очень хорошая причина).

Answer 2

Вопрос «Можно ли использовать проверку подлинности Windows и разрешить проверку подлинности только в пределах определенного домена?» У меня всегда был один и только один ответ в моем опыте консультирования: ответ - это разрешения, которые вы установили для аутентифицированных ресурсов.

Я редко встречал развертывание, в котором нет файла, папки, сервера, объекта COM +, роли SQL или таблицы базы данных, которые нельзя «заблокировать», чтобы разрешить доступ только подмножеству пользователей, которых вы » повторный таргетинг (например, «ДОМЕН \ Пользователи домена»):

• Установите разрешения для файлов ASPX (или папки, содержащей их, вместе с наследованием файлов), которые являются «входной дверью» (и, необязательно, всеми остальными), чтобы они были доступны только пользователям в разделе " Группа «Пользователи домена» для разрешенного домена
• ограничить права входа на сервер, на котором размещен веб-сайт, так что только группа «Пользователи домена» имеет соответствующие права - в зависимости от используемого поставщика аутентификации это может быть «разрешить локальный вход» или «получить доступ к этому компьютеру из сети». «
• установка разрешений на некотором уровне служб компонентов
• ограничить роли SQL Server, чтобы только «пользователи домена» могли читать и выполнять необходимые объекты базы данных