IIS + 内置身份验证 Windows: 你安全阅读吗？ / 对过去的用户执行检查？

我有一个公司的Web应用程序，将与统一服务集成 (SSO) 穿过
http://en.wikipedia.org/wiki/I ... ation
(IWA). 服务 SSO 仅提供身份验证 (不授权). 此Web应用程序将通过特殊授权模块处理授权。 我们推出 IIS 6 在 Windows 2003.

一旦用户通过身份验证 IWA, IIS 默认情况下，在系统中包含的用户上下文中运行网页。 通常我们有一个安全组对象 Active Directory, 我们分配阅读许可 / 在网站目录中执行 - 任何用户对象都可以看到这个指定的安全组的成员 / 运行网页。 任何用户 AD, 成功通过身份验证 AD, 但不属于这个安全组，得到 HTTP 401 (访问被拒绝).

但是，在这个项目中，我们不想支持添加 / 删除自定义对象 AD 对于指定的安全组。 相反，我们决定分配一个组 Authenticated_Users 阅读权利 / 满足网站目​​录文件。 因此，如果您可以进行身份​​验证，则默认情况下可以看到 / 运行页面请求。

这是安全的吗？ 从我的团队的角度来看，如果此Web应用程序中的授权模块执行其工作，则是安全的。

其他任何人都这样做或者在使用内置身份验证时，您还有另一种授权管理的方法 Windows 在 IIS?