存儲對AD組的引用的最佳方法是什么？

Question

我正在為客戶端編寫Intranet應用程序，我想讓他們能夠通過管理界面進行配置，用戶和用戶組可以訪問某些區域。 我想知道的是存儲對分配給Intranet區域的用戶或組的引用的最佳方法。

我應該使用domain \\ username和domain \\ groupname字符串還是應該使用完全限定的廣告名稱，例如ou = computer room; cn = blah等？

我將在SQL中存儲引用。

Answer 1

我個人認為“域\\用戶名”格式具有足夠的可讀性。

另外，如果您直接編輯SQL表，則可以很容易地為用戶插入一條記錄，以進行測試或調試。

Answer 2

如果要絕對確保您擁有正確的用戶/組，則可以使用SID（活動目錄中可分配權限的任何對象上存在的安全標識符，以及其GUID）

我不確定應用程序的上下文是什么，但是也許要看一下使用Active Directory安全性阻止用戶移入不應執行的操作，或者如果該站點不是大量站點，則可能可以完成其中一些操作集成身份驗證，並在sql上進行安全性驗證。

我對LDAP查詢和AD感到沮喪，因為不同的域控制器有時可以給出不同的答案，甚至找不到對象，或者要求您登錄才能查詢AD。

Answer 3

我會使用domain \\ group，以防組被移動或刪除/重新創建。 面對OU結構的更改，使用CN非常困難。 SID不是人類可讀的，如果刪除/重新創建對象，SID會損壞。