Регистрация действий пользователя AD (с удаленными пользователями)

Question

Мы собираемся перевести веб-приложение интрасети с использования проприетарной безопасности на основе форм в Active Directory. Приложение регистрирует различные действия пользователя, и существует значительный объем данных, связанных с учетными записями пользователей. Мы планировали перенести все эти столбцы UserId в разные таблицы: от внешнего ключа, связывающего проприетарную систему, до GUID Active Directory. Имена пользователей в обеих системах идентичны, поэтому миграция не является проблемой.

Однако мы выявили одну серьезную проблему: наша политика безопасности требует, чтобы неактивные пользователи были удалены из Active Directory. Потерянный GUID в наших журналах безопасности делает записи довольно бессмысленными для любого, кто их просматривает.

Как приложение может поддерживать понятные человеку сведения (имя, логин и т. Д.) Об идентификаторе GUID, удаленном из Active Directory?

Мы рассмотрели следующие варианты. Один из этих вариантов может оказаться оптимальным, но мы хотим попробовать лучше:

• Денормализация таблиц журналов и сохранение имени / логина вместо GUID (хорошо для журналов, не так много для активных данных.)
• Поддерживать «кэш» информации об объекте AD, где записи никогда не удаляются
• Сохранение учетной записи AD, но ее деактивация / блокировка

Answer 1

Я бы не стал полностью денормализовать таблицу журналов, но вместо этого сохранил бы соответствующую информацию AD вместе с GUID, как сказал Тим. Однако, если вам понадобится эта информация AD в других областях, кэшируйте ее в своей пользовательской таблице. Я бы не рекомендовал менять вашу политику безопасности.

Answer 2

Мы решили использовать таблицу «кеш», в которой будет храниться словарь идентификаторов GUID, которые отображаются в удобной для пользователя информации. Для этого потребуется представление, которое абстрагирует список пользователей AD и объединяет отсутствующие записи из кэша.

Answer 3

За ведение журнала я предпочитаю денормализованный подход, но поддерживаю идентификатор. Я храню идентификатор пользователя вместе с другой, удобочитаемой информацией для идентификации. Для активного пользователя я все еще могу использовать идентификатор в соединениях (при необходимости). Для неактивных (удаленных) пользователей у меня есть читабельная форма для использования аудиторами.