什麼是存儲對AD組的引用的最佳方式？

Question

我正在爲客戶端編寫一個Intranet應用程序，我想讓他們能夠通過管理界面進行配置，哪些用戶和用戶組可以訪問某些區域。我想知道的是將引用存儲到分配給Intranet區域的用戶或組的最佳方式。

我應該使用域\用戶名和域\組字符串或者我應該算得上使用完全合格的廣告名稱即OU =電腦室; CN =等等等？

我將存儲SQL參考。

Answer 1

我會使用域\組的情況下，該組被移動或刪除/重新創建。面對OU結構的變化，使用CN很脆弱。 SID不是人類可讀的，並且如果對象被刪除/重新創建，將會中斷。

Answer 2

我個人認爲，「域\用戶名」的格式是足夠的可讀性。

另外，如果你直接編輯SQL表，你可以很容易地插入用於測試或調試目的的用戶的記錄。

Answer 3

如果你想成爲absolutley確保您有正確的用戶/組，你可以使用SID（可分配權限在Active Directory中的任何對象上存在的安全標識符，它的一個GUID）

我我不確定應用程序的上下文是什麼，但也許看看使用Active Directory安全來阻止用戶不應該去的地方，或者如果它不是一個大容量的網站，可能有一些可以用集成身份驗證，並在SQL上進行安全驗證。

我曾與LDAP查詢的和AD挫折，因爲不同勢域控制器有時可以給不同勢答案，甚至找不到對象，或者您需要登錄纔可以查詢AD。