ฉันจะสร้างสิทธิ์และกลุ่ม Active Directory แบบกำหนดเองเพื่อที่ฉันสามารถตรวจสอบผู้ใช้กับสิ่งนี้ได้อย่างไร

ตามที่ฉันเข้าใจ

ที่นี่คุณสามารถลองใช้โค้ดด้านล่าง

ลองอีกครั้ง

1) สร้างกลุ่ม

                PrincipalContext principalContext =
                    new PrincipalContext(ContextType.Domain, LDAPDomain, LDAPContainer,
                        LDAPAdmin, LDAPPassword);

                GroupPrincipal group = GroupPrincipal.FindByIdentity(principalContext, "groupName");

                if (group == null)
                {
                    GroupPrincipal groupPrincipal = new GroupPrincipal(principalContext);
                    groupPrincipal.Name = "groupName";
                    groupPrincipal.SamAccountName = "samAccountName";
                    groupPrincipal.UserPrincipalName = "userPrincipleName";
                    groupPrincipal.GroupScope = GroupScope.Global;
                    groupPrincipal.Description = "groupNameDescription";
                    groupPrincipal.DisplayName = "groupNameDisplayName";
                    groupPrincipal.Save();
                }

2) เพิ่มผู้ใช้ไปยังกลุ่ม

            GroupPrincipal group = GroupPrincipal.FindByIdentity(principalContext, "groupName");
            UserPrincipal user = UserPrincipal.FindByIdentity(principalContext, "userName");

            bool isUserAdded = false;


            if (user != null & group != null)
            {
                if (user.IsMemberOf(group))
                {
                    //Do Code
                }
                else
                {
                    group.Members.Add(user);
                    group.Save();
                    isUserAdded = user.IsMemberOf(group);
                }
            }

            if (isUserAdded)
            {
                //Do Code
            }

3) ลบผู้ใช้ออกจากกลุ่ม

                GroupPrincipal group = GroupPrincipal.FindByIdentity(principalContext, "groupName");
                UserPrincipal user = UserPrincipal.FindByIdentity(principalContext, "userName");

                bool isUserRemoved = false;


                if (user != null & group != null)
                {
                    if (user.IsMemberOf(group))
                    {
                        group.Members.Remove(user);
                        group.Save();
                        isUserRemoved = user.IsMemberOf(group);
                    }
                    else
                    {
                        //Do Code

                    }
                }

                if (!isUserRemoved)
                {
                    //Do Code
                }

4) เพิ่มหรือลบ AccessRule (สิทธิ์) ให้กับกลุ่ม

จากฝั่งของฉัน ฉันไม่มีความคิดที่ชัดเจนเกี่ยวกับตรรกะหรือการใช้งานของคุณจริงๆ

แต่ที่นี่ฉันพยายามให้วิธีแก้ปัญหาสำหรับการเพิ่มหรือลบกฎการเข้าถึงให้กับกลุ่ม

            //DirectoryEntry for OU Level
            DirectoryEntry directoryEntry = new DirectoryEntry("LDAP://OU=MYOU,DC=MYDC,DC=COM");

            NTAccount account = new NTAccount("MYDC", "groupName");

            ActiveDirectoryAccessRule ruleRead = new ActiveDirectoryAccessRule(
                account,
                ActiveDirectoryRights.ReadProperty,
                AccessControlType.Allow,
                ActiveDirectorySecurityInheritance.None);

            ActiveDirectoryAccessRule ruleWrite = new ActiveDirectoryAccessRule(
                account,
                ActiveDirectoryRights.WriteProperty,
                AccessControlType.Deny,
                ActiveDirectorySecurityInheritance.None);

            if (Permission == "User shall be able to export private key from an RSA keypair")
            {
                directoryEntry.ObjectSecurity.AddAccessRule(ruleRead);

                directoryEntry.ObjectSecurity.AddAccessRule(ruleWrite);

                directoryEntry.Options.SecurityMasks = SecurityMasks.Dacl;

                directoryEntry.CommitChanges();

                Console.WriteLine("Added Deny Access to Read & Write.");
            }

            if (Permission == "User is able to decrypt imported data")
            {
                directoryEntry.ObjectSecurity.RemoveAccessRule(ruleRead);

                directoryEntry.ObjectSecurity.RemoveAccessRule(ruleWrite);

                directoryEntry.Options.SecurityMasks = SecurityMasks.Dacl;

                directoryEntry.CommitChanges();

                Console.WriteLine("Removed Deny Access to Read & Write.");
            }

            directoryEntry.Close();

            directoryEntry.Dispose();

หมายเหตุ: โปรดทดสอบโค้ดข้างต้นทั้งหมดในสภาพแวดล้อมการทดสอบของคุณก่อน

คุณกำลังพยายามใช้ AD เป็นทั้งที่เก็บ AuthZ และกลไก AuthZ ของคุณหากฉันทำตามคำถามอย่างถูกต้อง แบบแรก (ใช้เป็นที่เก็บข้อมูล) สมเหตุสมผลดี แต่ฉันไม่คิดว่านี่เป็นเครื่องมือที่เหมาะสมในการประเมินการเข้าถึงแอปของคุณ

สิ่งที่ฉันจะทำคือแบ่งกลุ่มของคุณออกเป็นสองระดับ:

• ระดับ 1 - กลุ่มสิทธิ์ (เช่น สามารถเข้ารหัสได้ สามารถถอดรหัสได้ ฯลฯ)

• ระดับ 2 - บทบาท - เป็นสมาชิกของกลุ่มสิทธิ์ต่างๆ และในทางกลับกัน ผู้ใช้จะถูกเพิ่มในกลุ่มเหล่านี้เพื่อให้สิทธิ์แก่พวกเขา พวกเขาจะสืบทอดสิทธิ์ที่บทบาทมีเมื่อโทเค็นการเข้าสู่ระบบถูกสร้างขึ้นโดย Windows

สมมติว่าแอปของคุณใช้ Windows Authentication WindowsTokenRoleProvider (https://msdn.microsoft.com/en-us/library/system.web.security.windowstokenroleprovider(v=vs.110).aspx) จะแสดงความเป็นสมาชิกกลุ่มทั้งหมดขึ้นมา ลงในแอปของคุณ จากนั้นคุณสามารถตรวจสอบได้ว่ามีใครอยู่ในกลุ่มการอนุญาตหรือไม่ และปล่อยให้พวกเขาทำอะไรบางอย่าง (หรือไม่)...