.net - 桌面 .net 应用程序的 LDAP/AD 集成 : does it make sense?

Question

我有一位客户要求将 Windows 的 LDAP/AD 登录与桌面 .NET 应用程序集成。它是一个桌面 .NET 应用程序，这意味着它不是一个可公开访问的网页:它是一个带有 GUI 的可执行文件，将在 Windows 下作为程序(而不是作为服务)运行，并在本地复制到计算机上。

客户要求将此作为安全措施。当您打开应用程序时，您输入用户名和密码并使用 LDAP 进行身份验证检查。我真的不明白这应该保护什么安全风险:

• 应用程序在 Windows 下运行，因此 Windows 用户必须已经登录 -> 在 Windows 登录和应用程序登录时检查凭据有什么意义？
• 我能想到的唯一情况是，如果有人在登录 Windows 时让他的计算机无人看管，在这种情况下，其他人可以启动该应用程序:但是，这并不能阻止有人让他的计算机无人看管的情况当他登录到 Windows 并登录到应用程序时。花时间防范一种情况而不是另一种情况是没有意义的，这两种情况都有可能发生。

我问过我与客户的联系方式，但他的回答基本上归结为“因为这是公司政策”，所以我认为他也不太了解。你能想出你想要这个的原因吗？它可以防范哪些安全风险？

Answer 1

我不打算详细介绍 LDAP 身份验证与 MySQL 的比较，为什么 LDAP 更具可扩展性、速度更快，为什么 RDBMS 不在此处。我只会给你一个大概的想法。

首先，如果答案是“因为这是公司政策”，那么我可以向您保证，您无法获胜，因为这是陈词滥调。当人们对自己想要什么以及万事通先生告诉他们的内容知之甚少时，您经常会得到这样的答案!

只有当用户正确使用它们并且开发者正确开发它们时，应用程序才是安全的。

Programming today is a race between software engineers striving to build bigger and better idiot-proof programs, and the Universe trying to produce bigger and better idiots. So far, the Universe is winning — Rich Cook.

回到您的问题，LDAP 身份验证提供了一些常见的安全性(我开发了一些 LDAP 身份验证应用程序，它们都是相同的，因为过程始终相同)。在一个地方保留和管理帐户的主要原因，仅此而已。它可以称为安全和公司政策。我认为他们更关心以下两个步骤。

• John 加入公司，IT 经理在 AD 中创建了他的电子邮件帐户，将他分配给一些 OU(组织单位)。约翰使用该应用程序，但他只能根据他的 OU 来使用应用的某些功能来自 LDAP auth(一大组数组/对象)。安全级别是像那样定义。
• John 离开公司，IT 经理禁用/删除了他在AD 和 John 无法再登录系统。系统自动像那样安全。

使应用程序在桌面环境中可用可能有其背后的安全原因，但与 LDAP 无关，因此它只是一个“策略”。