使用操作和角色扩展Active Directory安全性

我们正在构建一个使用集成Windows身份验证的Intranet应用程序。应用程序需要自定义操作和角色来保护不同的部分和功能。

我目前的想法是通过将角色和操作存储在使用SID链接到Active Directory用户的不同数据库中来扩展Active Directory。这样我们就知道了用户是谁,并且从我们的数据库中获取了他所允许的角色(包括操作),而不需要太多麻烦。

你认为这是一个很好的方法还是有更好的方法来处理这些事情?

我读过这篇文章: User Group and Role Management in .NET with Active Directory
但是Active Directory不支持以编程方式创建角色,也不支持任何自定义操作。