44、ActiveDirectoryMembershipProvider与ADLDS的使用指南

ActiveDirectoryMembershipProvider与ADLDS的使用指南

1. 非管理提供程序实例配置

首先，需要配置一个非管理提供程序实例，使其使用只读用户帐户运行，就像之前使用的管理提供程序那样。之后，在“Active Directory 用户和计算机”MMC 中，通过拒绝特定的用户对象属性权限来配置只读帐户。例如，要撤销 userpopareader 帐户对加密密码答案字段的读写权限。这是因为只有在 ResetPassword 方法被调用时才需要读取密码答案字段，所以只有之前配置的管理帐户需要对该属性具有读取权限。而对密码答案属性的写入权限仅在 CreateUser （初始创建问题和答案）和 ChangePasswordQuestionAndAnswer （更新问题和答案）方法中才是必需的。因此，为创建用户、更新问题和答案以及执行密码重置操作配置一个单独的提供程序实例是有意义的。

2. 使用ADLDS作为目录存储

从 ActiveDirectoryMembershipProvider 的角度来看，使用 ADLDS 作为后备存储与使用 Active Directory 作为后备存储非常相似。ADLDS 的架构支持用户类，并且可以像 Active Directory 一样扩展架构以实现自助服务密码重置。在目录结构方面，AD 和 ADLDS 可以采用相同的通用方法，如使用单个容器存储用户，或为不同应用程序使用单独的用户容器。用户创建/删除操作与其他操作的行为在 ADLDS 中也是相同的，即创建和删除操作总是在连接