ASP.NET Core autoriza grupos de AD a través de web.config

En mi antigua aplicación .NET MVC, podía habilitar la autenticación de Windows en IIS y deshabilitar anónimo. Entonces en miweb.config archivo solo tuve que poner esto:

<authorization> 
  <allow roles="Domain\MyADGroupToHaveAccess" />
  <deny users="*" /> 
</authorization> 

En .NET Core 2.0 esto no funcionará: niega anónimo correctamente, pero autoriza a todos los usuarios sin importar qué.

Si hago esto:

[Authorize(Roles = "Domain\\MyADGroupToHaveAccess")]

en miHomeController, funciona, pero no quiero codificar esta configuración en mi proyecto, ya que es algo que debe cambiarse para otros entornos.

Como puedo hacerweb.config trabajar con autorización AD? ¿O hay otra forma de no codificar esta configuración en ASP.NET Core?