您需要外部授权，例如基于声明的授权（特定于 Microsoft）或更广泛的基于属性的访问控制 (ABAC)。

ABAC 最近由 NIST 定义，您可以在此处下载他们的报告。

在您的问题中，您指向 LDAP 和组。然后您解释您需要将功能与组/角色相关联。LDAP、角色和组代表您的属性。它们也可能来自其他来源（例如数据库）。您缺少的是授权逻辑：组和功能之间的映射。

在 ABAC 中，该逻辑表示为授权策略。OASIS 有一个称为 XACML 的标准，即可扩展访问控制标记语言。在 XACML 中，您将使用属性来定义允许或拒绝哪些访问。

例如：

具有角色经理并在财务组中的用户可以查看财务菜单。

您可以在此处和此处阅读有关 XACML的更多信息。

我不会将其归类为身份管理。这是一个访问管理问题。绝对建议将您的访问管理解决方案外部化，而且我不知道有任何不使用 LDAP 作为存储的解决方案。

细粒度访问控制定义了对在同一页面或 URL 中显示的元素的访问，例如带有查询字符串参数的 URL 可以使用支持细粒度访问控制的产品进行“访问管理”，这与仅支持此功能的粗粒度访问控制解决方案不同到页面级别即html、jsp、php页面，忽略查询字符串参数或其他按钮，页面内的链接。

一种解决方案是（假设访问管理解决方案不提供细粒度访问控制 - 许多不提供）是结合访问管理产品和您的自定义代码来实现细粒度访问控制。在访问管理产品中定义自定义组/属性。这些自定义定义必须具有在 TRW 中定义的遍历、读取、写入访问权限，例如，例如，某些按钮/链接仅针对同一 http URL 上的管理员显示。还要在您的自定义数据库中定义相同的值（如有必要），以将它们映射到用户的权限/类型和他们的自定义组。

当用户登录您的网站时，将用户的访问权限作为 http 标头传递给网站。读取这些标头，解析这些值，然后根据用户类型和权限，为用户显示按钮/链接。例如，如果标题包含 R 作为属性并且如果用户类型不是管理员，则不显示符合 R 标准但不符合经理标准的按钮 - 这可以在您的数据库中查找。

如果您设法获得支持细粒度访问控制的访问管理解决方案，则上述解决方案无关紧要，但如果成本是问题，则上述解决方案应该易于实施。