存储对 AD 组的引用的最佳方式是什么？答案

【问题标题】：What is the best way to store a reference to an AD group?存储对 AD 组的引用的最佳方式是什么？
【发布时间】：2008-10-17 20:52:57
【问题描述】：

我正在为客户编写 Intranet 应用程序，我想让他们能够通过管理界面进行配置，用户和用户组可以访问某些区域。我想知道的是存储对分配给 Intranet 区域的用户或组的引用的最佳方式。

我应该使用 domain\username 和 domain\groupname 字符串，还是应该使用完全限定的广告名称，即 ou=computer room； cn=blah 等等？

我会将引用存储在 SQL 中。

【问题讨论】：

【解决方案1】：

如果组被移动或删除/重新创建，我会使用 domain\group。面对 OU 结构的变化，使用 CN 很脆弱。 SID 不是人类可读的，如果对象被删除/重新创建，SID 就会中断。

【讨论】：

【解决方案2】：

我个人认为“域名\用户名”格式可读性足够。

此外，如果您直接编辑 SQL 表，您可以很容易地为用户插入一条记录以进行测试或调试。

【讨论】：

【解决方案3】：

如果您想绝对确保您拥有正确的用户/组，您可以使用 SID（可分配权限的活动目录中任何对象上存在的安全标识符，以及它的 GUID）

我不确定应用程序的上下文是什么，但也许可以考虑使用 Active Directory 安全性来阻止用户去不应该去的地方，或者如果它不是一个高容量的网站，其中一些可能也许可以通过集成身份验证来完成，并在 sql 上进行安全验证。

我对 LDAP 查询和 AD 感到沮丧，因为不同的域控制器有时会给出不同的答案，甚至找不到对象，或者要求您在查询 AD 之前登录。

【讨论】：