utilizzando i roles da te definiti nell'applicazione puoi settare i l'accesso alle risorse mediante il webconfig
eccoti un piccolo esempio , ma sulla rete ne potrai trovare molti altri

codice:
<location path="Role_xyz_Section" > 
<system.web> 
<authorization> 
<allow roles="Role_xyz"/> 
<deny users="?"/> 
</authorization> 
</system.web> 
</location>
Usalo solo per proteggere risorse come img pdf etc , poiche per le pagine .aspx il controllo nn funziona come ci si aspetterebbe , infatti in caso di istruzioni del tipo server.transfert il contesto in cui viene processata la pagina non è quello del path protetto di destinazione ma è di quello della pagina chiamante che potrebbe non essere vincolato dai ruoli.