sikkerhed på udvalgte sider via web.config

Jeg er ved at udvikle en webshop, og som så mange andre lignende sites så er der behov for at gøre dele af sitet tilgængeligt for udvalgte personer.
Der er 3 områder i systemet, som alle skal have forskellige adgangskrav:
roden (default.aspx, browse rundt i produkterne etc)
--her skal der være anonym access
/payment (diverse sider der har med pbs-betaling at gøre)
--her skal der kun være adgang for brugere der er logget ind
/admin (admin configurationssider, oprettelse af nye produkter mm)
--her skal der naturligvis kun være adgang hvis man er admin

Jeg ved det er muligt at løse det ved at indsætte kode i page_load på alle sider og så kontrollere på den bruger der er logget ind. Men det er besværligt, især hvis der skal ændres i det senere. Så jeg har browset lidt rundt og fundet ud af at det burde kunne lade sig gøre via web.config, men jeg kan ikke finde en ordentlig forklaring af hvordan. Noget med <authorization> delen og nogle <allow roles> sætninger, men hvor defineres roles og hvordan knyttes de til mine brugere i systemet?

p.s. Brugerlogin gemmes i en ms sql db og ved login oprettes et bruger-objekt som smides i session. Ved ikke om det er noget man skal bruge i forbindelse med beskyttelse af områder med web.config.