我们有一个遗留应用程序，我们可以完全访问源代码和运行它的平台，因此如果需要，几乎可以实施任何更改。
该应用程序是一个 Java Swing 重量级 GUI（桌面），通过 JDBC 以 2 层方式直接访问数据库。在应用程序启动时，用户输入由用户和密码组成的他/她的凭据。当前的安全架构是：
- 带有 Oracle Internet Directory 10g (OID) 的 Oracle Database 10g Enterprise（迁移到 11g）。
- Oracle 使用企业用户，因此在连接到 DB 时，连接中提供的用户来自 GUI，Oracle 会根据 OID 进行验证。
- 数据库权限通过企业角色进行管理。DB 中定义的每个 ER 映射 OID 中定义的组，因此用户 DB 对对象（表、过程...）的访问由他/她在 OID 中所属的组控制。
- 多个 GUI 用户可以创建其他用户，因此在 OID 中创建它们，分配到相应的 OID 组以授予 DB 权限。这是使用 OID 中对该“超级用户”的特殊 Oracle 权限来完成的。这是使用标准 LDAP API 从 GUI 完成的，而不是 OID API。GUI 用户使用其凭据连接到 OID 并执行 LDAP 操作。
这个想法是用 Microsoft Active Directory 替换 OID，因此数据库将根据 AD 验证用户。ER 中定义的 DB 权限也可以根据用户所属的组从 AD 中检索。
假设 Oracle …