Bagaimana cara membuat izin dan grup Direktori Aktif khusus sehingga saya dapat memverifikasi pengguna terhadap hal ini?

Seperti yang saya pahami,

Di sini Anda dapat mencoba kode di bawah ini

Coba sekali

1) Buat Grup

                PrincipalContext principalContext =
                    new PrincipalContext(ContextType.Domain, LDAPDomain, LDAPContainer,
                        LDAPAdmin, LDAPPassword);

                GroupPrincipal group = GroupPrincipal.FindByIdentity(principalContext, "groupName");

                if (group == null)
                {
                    GroupPrincipal groupPrincipal = new GroupPrincipal(principalContext);
                    groupPrincipal.Name = "groupName";
                    groupPrincipal.SamAccountName = "samAccountName";
                    groupPrincipal.UserPrincipalName = "userPrincipleName";
                    groupPrincipal.GroupScope = GroupScope.Global;
                    groupPrincipal.Description = "groupNameDescription";
                    groupPrincipal.DisplayName = "groupNameDisplayName";
                    groupPrincipal.Save();
                }

2) Tambahkan Pengguna Ke Grup

            GroupPrincipal group = GroupPrincipal.FindByIdentity(principalContext, "groupName");
            UserPrincipal user = UserPrincipal.FindByIdentity(principalContext, "userName");

            bool isUserAdded = false;


            if (user != null & group != null)
            {
                if (user.IsMemberOf(group))
                {
                    //Do Code
                }
                else
                {
                    group.Members.Add(user);
                    group.Save();
                    isUserAdded = user.IsMemberOf(group);
                }
            }

            if (isUserAdded)
            {
                //Do Code
            }

3) Hapus Pengguna Dari Grup

                GroupPrincipal group = GroupPrincipal.FindByIdentity(principalContext, "groupName");
                UserPrincipal user = UserPrincipal.FindByIdentity(principalContext, "userName");

                bool isUserRemoved = false;


                if (user != null & group != null)
                {
                    if (user.IsMemberOf(group))
                    {
                        group.Members.Remove(user);
                        group.Save();
                        isUserRemoved = user.IsMemberOf(group);
                    }
                    else
                    {
                        //Do Code

                    }
                }

                if (!isUserRemoved)
                {
                    //Do Code
                }

4) Tambah atau Hapus AccessRule (Izin) ke Grup

Dari sisi saya, saya tidak tahu jelas tentang apa sebenarnya logika atau implementasi Anda,

Namun disini saya mencoba memberikan solusi untuk menambah atau menghapus aturan akses ke grup

            //DirectoryEntry for OU Level
            DirectoryEntry directoryEntry = new DirectoryEntry("LDAP://OU=MYOU,DC=MYDC,DC=COM");

            NTAccount account = new NTAccount("MYDC", "groupName");

            ActiveDirectoryAccessRule ruleRead = new ActiveDirectoryAccessRule(
                account,
                ActiveDirectoryRights.ReadProperty,
                AccessControlType.Allow,
                ActiveDirectorySecurityInheritance.None);

            ActiveDirectoryAccessRule ruleWrite = new ActiveDirectoryAccessRule(
                account,
                ActiveDirectoryRights.WriteProperty,
                AccessControlType.Deny,
                ActiveDirectorySecurityInheritance.None);

            if (Permission == "User shall be able to export private key from an RSA keypair")
            {
                directoryEntry.ObjectSecurity.AddAccessRule(ruleRead);

                directoryEntry.ObjectSecurity.AddAccessRule(ruleWrite);

                directoryEntry.Options.SecurityMasks = SecurityMasks.Dacl;

                directoryEntry.CommitChanges();

                Console.WriteLine("Added Deny Access to Read & Write.");
            }

            if (Permission == "User is able to decrypt imported data")
            {
                directoryEntry.ObjectSecurity.RemoveAccessRule(ruleRead);

                directoryEntry.ObjectSecurity.RemoveAccessRule(ruleWrite);

                directoryEntry.Options.SecurityMasks = SecurityMasks.Dacl;

                directoryEntry.CommitChanges();

                Console.WriteLine("Removed Deny Access to Read & Write.");
            }

            directoryEntry.Close();

            directoryEntry.Dispose();

Catatan: Harap uji semua kode di atas di lingkungan pengujian Anda terlebih dahulu.

Anda mencoba menggunakan AD sebagai toko AuthZ dan mesin AuthZ Anda jika saya mengikuti pertanyaan dengan benar. Yang pertama (menggunakannya sebagai penyimpanan data) sangat masuk akal, namun menurut saya ini bukan alat yang tepat untuk mengevaluasi akses aplikasi Anda.

Apa yang akan saya lakukan adalah melapisi grup Anda dalam dua tingkat:

• Level 1 - grup izin (misalnya dapat mengenkripsi, dapat mendekripsi, dll.)

• Level 2 - peran - ini adalah anggota dari berbagai grup izin, dan pada gilirannya pengguna ditambahkan ke grup ini untuk memberi mereka peran tersebut. Mereka akan mewarisi izin yang dimiliki peran tersebut ketika token masuk mereka dibuat oleh Windows.

Dengan asumsi aplikasi Anda menggunakan Otentikasi Windows, WindowsTokenRoleProvider (https://msdn.microsoft.com/en-us/library/system.web.security.windowstokenroleprovider(v=vs.110).aspx) akan memunculkan semua keanggotaan grup ke dalam aplikasi Anda dan Anda kemudian dapat memeriksa apakah seseorang berada dalam grup izin dan membiarkan mereka melakukan sesuatu (atau tidak)...