Aspnet 5 (MVC6) Windows Auth + роли + атрибут авторизации

[Authorize(Roles = "DOMAIN\\GROUP")
public class myController : Controller{...}

[Authorize(Roles = @"DOMAIN\Group")]

{
  "title": "My App",
  "copyright": "2016",
  "description": "WebAPI",
  "dependencies": {
    "Microsoft.AspNetCore.Mvc": "1.0.0",
    "Microsoft.AspNetCore.Server.IISIntegration": "1.0.0",
    "Microsoft.AspNetCore.Server.Kestrel": "1.0.0",
    "Microsoft.Extensions.Configuration.EnvironmentVariables": "1.0.0",
    "Microsoft.Extensions.Configuration.FileExtensions": "1.0.0",
    "Microsoft.Extensions.Configuration.Json": "1.0.0",
    "Microsoft.Extensions.Logging": "1.0.0",
    "Microsoft.Extensions.Logging.Console": "1.0.0",
    "Microsoft.Extensions.Logging.Debug": "1.0.0",
    "Microsoft.Extensions.Options.ConfigurationExtensions": "1.0.0",
    "Microsoft.NETCore.App": {
      "version": "1.0.0",
      "type": "platform"
    },
    "Newtonsoft.Json": "9.0.1",
    "NLog.Extensions.Logging": "1.0.0-rtm-alpha2"
  },

Ответ 2 · рейтинг 1 · TerribleDev

Проблема в том, что в DNX нет system.DirectorySevices. Я начал обсуждение следующей проблемы github.

https://github.com/aspnet/Home/issues/1232#issuecomment-171264286

Ответ 3 · Michael Stokesbary

Нам пришлось иметь дело с текущими битами RC1, и мы попытались свести к минимуму настройку, поскольку похоже, что в RC2 все будет исправлено. В итоге мы создали класс Constants, в котором в качестве переменной использовались имена групп AD, о которых мы заботились, а затем в настоящее время значением константы является SID. Затем в нашем коде мы использовали константу вместо того, чтобы жестко задавать значение SID для роли. Таким образом, когда в будущем что-то будет исправлено, у нас будет возможность просто изменить значения (заменить sid именами групп) для констант вместо того, чтобы выполнять поиск и замену во всех контроллерах. Мы также закончили тем, что написали простой API, чтобы мы могли получить все ассоциации Name/Sid. Код для этого

[HttpGet("[action]")]
public List<Tuple<string, string>> GetSids()
{
    List<Tuple<string, string>> results = new List<Tuple<string, string>>();

    using (PrincipalContext pc = new PrincipalContext(ContextType.Domain))
    {
        using (GroupPrincipal gp = new GroupPrincipal(pc))
        {
            using (PrincipalSearcher searcher = new PrincipalSearcher(gp))
            {
                foreach (var found in searcher.FindAll())
                {
                    if (found is GroupPrincipal)
                    {
                        results.Add(new Tuple<string, string>(found.Name, found.Sid.Value));
                    }
                }
            }
        }
    }
    return results;
}

Ответ 4 · рейтинг -1 · Loubacca

Я только что столкнулся с очень похожей ситуацией, когда наши роли и уровни авторизации сильно отклонялись от того, что ASP.NET изначально мог предоставить. Итак, мы создали собственный пользовательский атрибут, унаследованный от AuthorizeAttribute, и он работал очень хорошо!

У меня нет опыта работы с компонентом AD, но удачный поиск показал, что этот разработчик:

http://ricardodsanchez.com/2013/05/24/how-to-use-active-directory-groups-to-restrict-access-to-controller-actions-in-asp-net-mvc-и-сделать-ваше-приложение-ещё-более-безопасным/

Его код выглядит прямолинейным и, за исключением части AD, кажется таким же, как тот, который у нас работает.

Обратите внимание: в настоящее время лучшим методом авторизации являются политики авторизации. Но я сомневаюсь, что даже самое умное использование этого шаблона поможет вам легко добраться до AD. Если вам интересно, вы можете увидеть предложенный метод здесь.