我有一个客户，要求将Windows的LDAP/AD登录与桌面。net应用程序集成。这是一个桌面。net应用程序，这意味着它不是一个可公开访问的网页:它是一个带有GUI的可执行文件，将在Windows下作为程序(而不是服务)运行，并在本地复制到计算机上。
客户请求此操作作为安全措施。打开应用程序时，输入用户名和密码，并使用LDAP进行身份验证检查。我真的不明白这应该保护什么安全风险:
- 应用程序在Windows下运行，所以Windows用户必须已经登录->检查Windows登录和应用程序登录的凭据有什么意义?
- 我能想到的唯一的情况是，如果有人离开他的电脑无人值守，而他登录到Windows，在这种情况下，其他人可以启动应用程序:然而，它并不能防止的情况下，有人离开他的电脑无人值守，而他登录到Windows，也登录到应用程序。把时间花在预防一种情况而不是另一种情况上是没有意义的，这两种情况都有可能发生。
我问过我和客户的联系人，但他的回答基本上归结为"因为这是公司政策"，所以我认为他也没有真正理解。你能想到你想要这个的原因吗?它所保护的安全风险是什么?
我不打算进一步比较LDAP与MySQL，为什么LDAP更具可伸缩性，速度更快，为什么不是RDBMS等等。我只是给你一个大概的概念。
首先，如果答案是"因为这是公司政策"，那么我可以向你保证，你赢不了，因为这是一个陈词滥调。当人们对自己想要什么知之甚少，而万事通先生又告诉他们什么时，你经常会得到这样的答案!
应用程序只有在用户正确使用、开发者正确开发的情况下才是安全的。
今天的编程是软件工程师之间的竞赛建立更大更好的防白痴程序，宇宙在尝试制造出更大更好的白痴。到目前为止，宇宙赢了丰富的厨师。
回到你的问题，LDAP身份验证提供了一些常见的安全性(我开发了一些LDAP身份验证应用程序，它们都是相同的，因为过程总是相同的)。在一个地方保存和管理账户的主要原因，仅此而已。它可以被称为安全性和公司策略。我认为他们更关心下面两个步骤。
- John加入公司，IT经理在AD中创建了他的电子邮件帐户，给他分配了一些组织单位。约翰使用这个应用程序，但是他只能根据他的ou 使用应用程序的某些功能来自LDAP认证(一大组数组/对象)。安全级别为 John离开公司，IT经理禁用/删除了他的账户AD和John无法再登录系统。系统自动
使应用程序在桌面环境中可用可能有安全原因，但与LDAP无关，所以它只是一个"策略"。
如果您的桌面应用程序用于进行审批，那么这是有意义的。我使用过许多应用程序(例如:更改管理应用程序)，要求您在使用之前登录，并在每次批准。
此认证&用户授权变得至关重要，特别是如果你的客户必须符合FDA/GxP标准(21 CFR第11.10部分)[在这里搜索术语"数字"]，它强调软件应注意确保用户需要根据有效来源进行身份验证。这可以是AD认证，智能卡等