Hola,
lo que haces con
<authorization>
<deny users="?"/> 'esto lo configuras
</authorization>
Es permitir o restringir el acceso a los usuarios autenticados o no autenticados segun lo que necesites
No se si lo quenecesitas es solo autenticar el usuario y permitirlo navegar en la aplicacion o a cada usuario solo darle permisos para carpetas en especifico.