Jak zrobić AuthorizeAttribute w pracy z grupą lokalnych administratorów w aplikacji intranetowej ASP.NET MVC 3?

Question

W tej aplikacji intranetowej ASP.NET MVC 3 (utworzonej przy użyciu szablonu MVC 3 Intranet Application), w której użytkownicy są automatycznie uwierzytelniani przed AD, próbuję ograniczyć dostęp do kontrolera do użytkowników w lokalnej grupie Administrators. W celu osiągnięcia tego, próbowałem zastosować AuthorizeAttribute tak:

[Authorize(Roles = "Administrators")] 
public class ElmahController : Controller 

Jednak, mimo że moja użytkownik AD (aplikacja zgłasza oczekiwaną użytkownik został uwierzytelniony) jest w miejscowym Administrators grupy, nie mogę uzyskać dostęp do sterownika po zastosowaniu AuthorizeAttribute. Pojawia się tylko pusta strona. Co ja robię źle?

Z drugiej strony, mam dowód, że określenie mojego konkretnego użytkownika działa:

[Authorize(Users = @"ad\arve")] 
public class ElmahController : Controller 

W tym przypadku, mogę odzyskać Ograniczona strona pomyślnie.

EDIT: Okazało się, że grupa kwalifikacyjna z BUILTIN pracował:

[Authorize(Roles = @"BUILTIN\Administrators")] 

Jest to najlepszy sposób odnoszenia się do grup lokalnych poprzez AuthorizeAttribute chociaż ??

Answer 1

Postępuj mój poradnik How to Create an Intranet Site Using ASP.NET MVC Trzeba użyć wbudowanego AspNetWindowsTokenRoleProvider klasę, która wykorzystuje grupy Windows, jak role

[Authorize(Roles = @"BUILTIN\Administrators")] 

będzie działać tylko wtedy, gdy jesteś adminem na serwerze IIS. Jeśli wdrożysz swoją aplikację na serwerze produkcyjnym dla swojej firmy, musisz zostać lokalnym administratorem na serwerze produkcyjnym.

Answer 2

Możesz umieścić niestandardowy atrybut autoryzacji AD nad każdą akcją lub kontrolerem. Zrobiłem to wcześniej i zrobiłem coś bardzo podobnego do linku poniżej. Działa to, jeśli używasz uwierzytelniania formularzy, a nie okien.

Active Directory Authorization based on Groups