Глобальный или универсальный групповой доступ Active Directory для веб-приложения

Question

У меня есть SQL Server 2000, C # и ASP.net веб-приложение.Мы хотим контролировать доступ к нему с помощью групп Active Directory.Я могу заставить аутентификацию работать, если группа, в которую я ввожу, является "Глобальной", но не если группа "Универсальная".

Как я могу заставить это хорошо работать с "Универсальными" группами?Вот мой блок авторизации:

  <authorization>
  <allow roles="domain\Group Name Here"/>
  <allow roles="domain\Group Name Here2"/>
  <allow roles="domain\Group Name Here3"/>
  <deny users="*"/>
  </authorization>

Answer 1

Оказывается, мне нужно было использовать идентификатор "Pre Win2000", а не обычный.

Answer 2

В зависимости от вашей топологии Active Directory вам, возможно, придется подождать, пока членство в универсальной группе не будет реплицировано на все контроллеры домена.Однако Active Directory рекомендует следующее:

1. Создайте глобальную группу для каждого домена, например, "Авторизованные пользователи домена А", "Авторизованные пользователи домена В".
2. Поместите нужных вам пользователей из Домена А в группу "Авторизованные пользователи домена А" и т. Д
3. Создайте универсальную группу в корневом домене "Все авторизованные пользователи".
4. Поместите глобальные группы в Универсальную группу
5. Защитите ресурс с помощью Универсальной группы:
6. Дождитесь репликации

Одним из преимуществ этой схемы является то, что когда вы добавляете нового пользователя в одну из глобальных групп, вам не нужно будет ждать репликации GC.