如何用Active Directory替换我的专有用户帐户和权限数据库？

Question

我有一个.Net应用程序，它具有通过专有数据库（即平面文件）管理的身份验证和细粒度功能访问控制。 所谓“细粒度”，是指，例如，访问控制权限使某些用户可以单击UI中的特定按钮，而其他用户则只能将该按钮视为禁用按钮。

理想情况下，我想摆脱我的专有数据库以及允许用户编辑数据库的实用程序代码。 当我们处于Windows环境中时，我立即被Active Directory吸引住了，因为我的大部分工作似乎都由IT及其Active Directory设置控制。

我的第一个问题是我对Active Directory一无所知。 我很快就被新术语（例如组策略，应用程序访问控制策略和访问控制列表）所淹没。 我在尝试做我想做的事情的过程中遇到了困难，我开始认为自己犯了一个错误，Active Directory的目的是用于身份验证和Windows访问控制，而不是用于自制的.Net应用程序的访问控制。

我当前的想法是尝试使每个细粒度的权限成为Active Directory对象（ADO），定义将我的应用用作Active Directory组（ADG）的角色，并通过访问控制列表将ADG或某些ADG与每个ADO关联。

目前，我认为我唯一可以回答的问题是我应该使用哪种类型的ADO？

Answer 1

好的，我知道了。 我可以使用AzMan。 至少这篇文章的标题让我觉得自己不那么愚蠢：

http://blogs.msdn.com/b/donovanf/archive/2007/03/08/windows-authorization-manager-azman-the-best-kept-secret.aspx

除了AzMan Windows Identity Foundation（WIF）以外，它可能更适合未来使用，

https://msdn.microsoft.com/zh-CN/library/hh377151.aspx

无论哪种方式，这似乎都是我想要的，只要它不会以Azure中心为死角。