Os Controles de Acesso Dinâmico limitam o acesso do usuário ao arquivo com base nos metadados do arquivo e na tabela do SQL Server

Question

Estou pesquisando os controles dinâmicos de acesso como uma forma de limitar o acesso do usuário aos arquivos em meu compartilhamento de arquivos, mas não sei se ele pode fazer o que estou tentando fazer.

Todos os arquivos em meu compartilhamento têm metadados personalizados que descrevem a categoria na qual o arquivo se encaixa (Finanças, Projeto 1, Projeto 2, Recursos Humanos, etc.) Eu também tenho uma tabela SQL que contém Username -> Category pares de valores-chave .

Existe uma maneira de criar uma política que determine o acesso com base em algo como isto:

File.Category ANY_OF SQL_Table[Username]

Onde SQL_Table[Username] é uma lista de todas as categorias às quais o usuário tem acesso, conforme registrado na tabela SQL?

Eu não quero usar os Grupos de segurança porque não quero que todos saibam quem está em quais projetos, e a criação de um grupo de segurança exporia a associação

    

Answer 1

O Controle de Acesso Dinâmico (DAC) não tem nenhuma funcionalidade para usar o SQL Server como uma fonte de informações de autorização, como você está descrevendo. As versões atuais do produto simplesmente não fazem isso.

Os atributos do Active Directory e as propriedades de classificação de arquivos são os únicos fatores que o DAC pode levar em consideração ao tomar uma decisão de autorização. Você está preso usando um atributo do AD existente ou estendendo o esquema para criar um novo atributo para fazer o que está procurando.

Ocultar membros do grupo de segurança não é uma causa completamente perdida, embora você esteja definitivamente alterando o comportamento padrão do produto. A Lei de Privacidade e Direitos Educacionais da Família dos EUA (FERPA, na sigla em inglês) causou alguma necessidade na comunidade de ensino superior para grupos de DA com filiação oculta. Houve algumas discussões na lista de discussão ActiveDir.org sobre isso no passado. O artigo sobre a Infraestrutura do Windows da Universidade de Washington em Configuração de privacidade do grupo de cursos também deve ser visto.