如何在 MVC Web 应用中允许/拒绝具有 WIF 的特定 AD 用户和组

我关注这个网站将WIF集成到我的MVC Web应用程序中：https://msdn.microsoft.com/en-us/library/hh291061.aspx

它运行良好，用户可以使用 SSO 登录，匿名用户被转发到 SSO 页面。

我想拒绝除某个 AD 组/用户之外的所有人的访问，并且我不知道在哪里放置规则。

我在系统网中尝试过

<system.web>
    <authentication mode="None" />
    <authorization>
      <allow users="<domain>'<username>"/>
      <deny users="*" />      
    </authorization>
  </system.web>

但这似乎不起作用，指定的允许用户被拒绝 （401）。

我在联邦元数据中尝试过，但也没有用

<location path="FederationMetadata">
    <system.web>
      <authorization>
        <allow users="<domain>'<username>"/>
        <deny users="*"/>        
      </authorization>
    </system.web>
  </location>

我一辈子都想不通这一点。 有什么建议吗？

<authorization>
    <allow users="*" />
</authorization>