Vordefinierte Rollen in Reporting Services

Gilt für: SQL Server 2016 (13.x) Reporting Services und höher Power BI-Berichtsserver

Reporting Services wird mit vordefinierten Rollen installiert, mit denen Sie den Zugriff auf Berichtsservervorgänge gewähren können. Jede vordefinierte Rolle beschreibt eine Auflistung verwandter Aufgaben. Sie können Gruppen und Benutzerkonten vordefinierten Rollen zuweisen, um den unmittelbaren Zugriff auf Berichtsservervorgänge bereitzustellen.

Vordefinierte Rollen verwenden

Überprüfen Sie die vordefinierten Rollen, um festzustellen, ob Sie sie ohne Änderungen verwenden können. Wenn Sie die Aufgaben anpassen oder andere Rollen definieren müssen, sollten Sie sie anpassen, bevor Sie den einzelnen Rollen Benutzer zuweisen. Verwenden Sie SQL Server Management Studio, um benutzerdefinierte Rollen zu erstellen oder zu bearbeiten. Weitere Informationen finden Sie unter Erstellen, Löschen oder Ändern einer Rolle (Management Studio).

Wenn Sie bereit sind, Rollen zuzuweisen, legen Sie fest, welche Benutzer und Gruppen Zugriff und Berechtigungen für den Berichtsserver benötigen. Sie sollten den meisten Benutzern die Rolle Browser oder Berichts-Generator zuweisen. Die Rolle des Herausgebers sollte nur wenigen Benutzern zugewiesen werden. Inhalts-Manager sollten nur wenige Benutzer zugewiesen werden.

Verwenden Sie das Webportal, wenn Sie bereit sind, Benutzer- und Gruppenkonten bestimmten Rollen zuzuweisen. Weitere Informationen finden Sie unter Gewähren von Benutzerzugriff auf einen Berichtsserver.

Vordefinierte Rollendefinitionen

Vordefinierte Rollen definieren die von ihnen unterstützten Aufgaben. Sie können diese Rollen ändern oder durch benutzerdefinierte Rollen ersetzen.

DerBereich definiert die Grenzen, innerhalb derer Rollen verwendet werden. Rollen auf Elementebene bieten verschiedene Ebenen des Zugriffs auf Berichtsserverelemente und -vorgänge, die sich auf diese Elemente auswirken. Rollen auf Elementebene werden für den Stammknoten (Stamm) und alle Elemente in der Ordnerhierarchie des Berichtsservers definiert. Rollen auf Systemebene autorisieren den Zugriff auf Websiteebene. Rollen auf Element- und Systemebene schließen sich gegenseitig aus, werden aber zusammen verwendet, um umfassende Berechtigungen für Berichtsserverinhalt und -vorgänge bereitzustellen.

In der folgenden Tabelle wird der vordefinierte Bereich der Rollen beschrieben:

Inhalts-Manager-Rolle

Die Rolle Inhalts-Manager ist eine vordefinierte Rolle, die hilfreiche Aufgaben für Benutzer*innen enthält, die Berichte und Webinhalte verwalten, aber nicht notwendigerweise Berichte erstellen oder einen Webserver bzw. eine SQL Server-Instanz verwalten. Ein Inhalts-Manager stellt Berichte bereit, verwaltet Berichtsmodelle und Datenquellenverbindungen und fällt Entscheidungen zur Verwendungsweise von Berichten. Für alle Aufgaben auf Elementebene wird standardmäßig die Inhalts-Manager -Rollendefinition ausgewählt.

Die Inhalts-Manager -Rolle wird häufig mit der Systemadministrator -Rolle verwendet. Zusammen stellen die beiden Rollendefinitionen einen vollständigen Satz von Aufgaben für Benutzer bereit, die einen vollständigen Zugriff auf alle Elemente auf einem Berichtsserver benötigen. Obwohl die Inhalts-Manager-Rolle vollständigen Zugriff auf Berichte, Berichtsmodelle, Ordner und andere Elemente in der Ordnerhierarchie bietet, ermöglicht sie keinen Zugriff auf Elemente oder Vorgänge auf Websiteebene. Aufgaben wie das Erstellen und Verwalten freigegebener Zeitpläne, das Festlegen von Servereigenschaften und das Verwalten von Rollendefinitionen sind Aufgaben auf Systemebene, die in der Systemadministrator -Rolle enthalten sind. Aus diesem Grund sollten Sie eine zweite Rollenzuweisung auf Websiteebene erstellen, mit der Zugriff auf freigegebene Zeitpläne bereitgestellt wird.

Aufgaben des Inhalts-Managers

In der folgenden Tabelle werden die in der Inhalts-Manager-Rolle enthaltenen Aufgaben aufgeführt:

Anpassen der Inhalts-Manager-Rolle

Diese Rolle ist für vertrauenswürdige Benutzer gedacht, die die allgemeine Verantwortung für das Verwalten und Warten des Berichtsserverinhalts tragen. Sie können zwar Aufgaben aus dieser Definition entfernen, aber dadurch ist möglicherweise nicht mehr eindeutig definiert, was verwaltet werden kann. Wenn Sie beispielsweise die Aufgabe Berichte anzeigen aus dieser Rollendefinition entfernen, kann ein Inhalts-Manager keine Berichtsinhalte anzeigen und keine Änderungen an Parameter- und Berechtigungseinstellungen überprüfen.

Die Inhalts-Manager -Rolle wird für die Standardsicherheit verwendet.

Herausgeberrolle

Die Verleger -Rolle ist eine integrierte Rollendefinition, die Aufgaben umfasst, mit denen Benutzer einem Berichtsserver Inhalt hinzufügen können. Diese Rolle ist vordefiniert. Sie wird erst verwendet, wenn Sie Rollenzuweisungen erstellen, in denen sie enthalten ist. Diese Rolle ist für Benutzer vorgesehen, die Berichte oder Modelle im Berichts-Designer oder Modell-Designer erstellen und diese Elemente dann auf einem Berichtsserver veröffentlichen.

Berichtsdefinitionen können Skripte und andere Elemente enthalten, die für HTML-Injection-Angriffe anfällig sind, wenn der Bericht zur Laufzeit in HTML gerendert wird. Wenn ein veröffentlichter Bericht ein böswilliges Skript enthält, kann ein Benutzer, der diesen Bericht ausführt, beim Öffnen des Berichts versehentlich das Ausführen des Skripts bewirken. Wenn der Benutzer über erweiterte Berechtigungen verfügt, wird das Skript mit diesen Berechtigungen ausgeführt.

Wenn Sie das Risiko, dass Benutzer böswillige Skripts versehentlich ausführen, vermindern möchten, begrenzen Sie die Anzahl der Benutzer, die über Berechtigungen zum Veröffentlichen von Inhalt verfügen. Stellen Sie außerdem sicher, dass die Benutzer nur Dokumente und Berichte aus vertrauenswürdigen Quellen veröffentlichen. Wenn Sie nicht sicher sind, ob eine Berichtsdefinition bedenkenlos veröffentlicht werden kann, sollen Sie die RDL-Datei in einem Text-Editor öffnen und nach Skripttags suchen. Böswillige Skripte kann in Ausdrücken und URLs (z. B. einer URL in einer Navigationsaktion) verborgen sein.

Verlegeraufgaben

In der folgenden Tabelle werden die in der Verleger-Rolle enthaltenen Aufgaben aufgeführt:

Anpassen der Verleger-Rolle

Sie können die Verleger -Rolle Ihren Anforderungen entsprechend ändern. Sie können z. B. die Aufgabe Verknüpfte Berichte erstellen entfernen, wenn Sie nicht möchten, dass Benutzer verknüpfte Berichte erstellen und veröffentlichen können. Sie können auch die Aufgabe Ordner anzeigen hinzufügen, damit Benutzer beim Auswählen eines Speicherorts für ein neues Element durch die Ordnerhierarchie navigieren können.

Benutzer, die im Berichts-Designer Berichte veröffentlichen, benötigen mindestens die Aufgabe Berichte verwalten, um dem Berichtsserver einen Bericht hinzufügen zu können. Nehmen Sie die Aufgaben Datenquellen verwalten und Ressourcen verwalten auf, wenn der Benutzer Berichte veröffentlichen muss, die freigegebene Datenquellen oder externe Dateien verwenden. Damit der Benutzer beim Veröffentlichen auch einen Ordner erstellen kann, müssen Sie auch die Aufgabe Ordner verwalten einschließen.

Browser-Rolle

Die Browser-Rolle ist eine vordefinierte Rolle, die hilfreiche Aufgaben für einen Benutzer enthält, der Berichte anzeigt, diese jedoch nicht notwendigerweise erstellt oder verwaltet. Diese Rolle ermöglicht grundlegende Funktionen für die konventionelle Verwendung eines Berichtsservers. Ohne diese Aufgaben kann es sich für Benutzer als schwierig erweisen, einen Berichtsserver zu verwenden.

Die Browser -Rolle sollte mit der Systembenutzer -Rolle verwendet werden. Zusammen ermöglichen die beiden Rollendefinitionen einen vollständigen Satz von Aufgaben für Benutzer, die mit Elementen auf einem Berichtsserver interagieren. Obwohl die Browser-Rolle den Sichtzugriff auf Berichte, Berichtsmodelle, Ordner und andere Elemente in der Ordnerhierarchie bietet, ermöglicht sie keinen Zugriff auf Elemente auf Websiteebene, z. B. freigegebene Zeitpläne, die beim Erstellen von Abonnements hilfreich sind. Aus diesem Grund sollten Sie eine zweite Rollenzuweisung auf Websiteebene erstellen, mit der Zugriff auf freigegebene Zeitpläne bereitgestellt wird.

Browseraufgaben

In der folgenden Tabelle werden die in der Browser-Rolle enthaltenen Aufgaben beschrieben:

Anpassen der Browserrolle

Sie können die Browser -Rolle Ihren Anforderungen entsprechend ändern. Sie können z. B. die Aufgabe Einzelne Abonnements verwalten entfernen, wenn Sie keine Abonnements unterstützen möchten. Sie können auch die Aufgabe Ressourcen anzeigen entfernen, wenn Benutzern keine zusätzliche Dokumentation oder sonstigen eventuell auf den Berichtsserver hochgeladenen Elemente angezeigt werden sollen.

Diese Rolle sollte mindestens die Aufgaben Berichte anzeigen und Ordner anzeigen unterstützen, um die Anzeige und die Ordnernavigation zu ermöglichen. Sie sollten die Aufgabe Ordner anzeigen nur entfernen, wenn Sie die Ordnernavigation deaktivieren möchten. Entsprechend sollten Sie die Aufgabe Berichte anzeigen nur entfernen, wenn für Benutzer keine Berichte angezeigt werden sollen. Für diese Änderungen ist eine benutzerdefinierte Rollendefinition erforderlich, die selektiv für eine bestimmte Benutzergruppe angewandt wird.

Berichts-Generator-Rolle

Die Report Builder-Rolle ist eine vordefinierte Rolle, die Aufgaben zum Laden von Berichten im Berichts-Generator sowie zum Anzeigen der Ordnerhierarchie und zum Navigieren in der Hierarchie einschließt. Sie brauchen zudem eine Systemrollenzuweisung, die die Aufgabe Berichtsdefinitionen ausführen einschließt, um Berichte im Report Builder erstellen und ändern zu können. Diese Aufgabe ist für die lokale Verarbeitung von Berichten in Berichts-Generator erforderlich.

Berichts-Generator-Aufgaben

In der folgenden Tabelle werden die Aufgaben beschrieben, die die Berichts-Generator-Rolle einschließt:

Anpassen der Berichts-Generator-Rolle

Sie können die Berichts-Generator -Rolle Ihren Anforderungen entsprechend ändern. Die Empfehlungen sind im Allgemeinen die gleichen wie für die Browser-Rolle:

• Entfernen Sie die Aufgabe Einzelne Abonnements verwalten, wenn Sie keine Abonnements unterstützen möchten.
• Entfernen Sie die Aufgabe Ressourcen anzeigen, wenn den Benutzern keine Ressourcen angezeigt werden sollen.
• Um die Anzeige und die Ordnernavigation zu unterstützen, behalten Sie die Aufgaben Berichte anzeigen und Ordner anzeigen bei.

Die wichtigste Aufgabe in dieser Rollendefinition ist die Aufgabe Berichte lesen, die es einem Benutzer ermöglicht, eine Berichtsdefinition vom Berichtsserver in eine lokale Berichts-Generator-Instanz zu laden. Wenn diese Aufgabe nicht unterstützt werden soll, können Sie diese Rollendefinition löschen und stattdessen die Browser-Rolle verwenden, da diese den allgemeinen Zugriff auf einen Berichtsserver unterstützt.

Meine Berichte-Rolle

Die Meine Berichte -Rolle ist eine vordefinierte Rolle, die eine Reihe von Aufgaben einschließt, die für Benutzer der Funktion "Meine Berichte" hilfreich sind. Zu dieser Rollendefinition gehören Aufgaben, die Benutzern Administratorrechte für die den eigenen Ordner Meine Berichte gewähren.

Sie können zwar eine andere Rolle für die Funktion Meine Berichte auswählen, aber Sie sollten eine Rolle ausschließlich für die Sicherheit von Meine Berichte verwenden. Weitere Informationen finden Sie unter Sichern von Meine Berichte.

Aufgaben in Meine Berichte

In der folgenden Tabelle werden die in der Meine Berichte-Rolle enthaltenen Aufgaben aufgeführt:

Anpassen der Meine Berichte-Rolle

Sie können diese Rolle an Ihre speziellen Anforderungen anpassen. Sie sollten jedoch die Aufgaben Berichte verwalten und Ordner verwalten beibehalten, um eine grundlegende Inhaltsverwaltung zu ermöglichen. Diese Rolle sollte alle anzeigebasierten Aufgaben unterstützen, damit Benutzer Ordnerinhalte anzeigen und die verwalteten Berichte ausführen können.

Die Aufgabe Sicherheit für einzelne Elemente festlegen ist zwar standardmäßig nicht Bestandteil der Rollendefinition, Sie können diese Aufgabe jedoch zur Meine Berichte-Rolle hinzufügen, damit die Benutzer Sicherheitseinstellungen für Unterordner und Berichte anpassen können.

Systemadministratorrolle

Die Systemadministrator -Rolle ist eine vordefinierte Rolle mit Aufgaben, die für einen Berichtsserveradministrator hilfreich sind, der die allgemeine Verantwortung für einen Berichtsserver trägt, jedoch nicht notwendigerweise für den Inhalt auf dem Berichtsserver.

Wenn Sie eine Rollenzuweisung erstellen möchten, die diese Rolle umfasst, verwenden Sie die Seite Websiteeinstellungen im Webportal, oder klicken Sie mit der rechten Maustaste auf die Rolle Systemadministrator im Objekt-Explorer von Management Studio.

Die Systemadministrator-Rolle vermittelt nicht denselben vollen Umfang an Berechtigungen, die ein lokaler Administrator möglicherweise für einen Computer besitzt. Die Systemadministrator-Rolle umfasst vielmehr Vorgänge, die auf Websiteebene und nicht auf Elementebene ausgeführt werden. Erstellen Sie für Benutzer, für die der Zugriff auf siteweite Vorgänge und auf Elemente erforderlich ist, die auf dem Berichtsserver gespeichert sind, eine zweite Rollenzuweisung für den Ordner Rollen, die die Inhalts-Manager-Rolle umfasst. Zusammen stellen die beiden Rollendefinitionen einen vollständigen Satz von Aufgaben für Benutzer bereit, die einen vollständigen Zugriff auf alle Elemente auf einem Berichtsserver benötigen.

Systemadministratoraufgaben

In der folgenden Tabelle werden die in der Systemadministrator-Rolle enthaltenen Aufgaben aufgeführt:

Die Systemadministrator -Rolle wird für die Standardsicherheit verwendet.

Systembenutzer-Rolle

Die Systembenutzer -Rolle ist eine vordefinierte Rolle mit Aufgaben, mit denen Benutzer grundlegende Informationen zum Berichtsserver anzeigen können. Sie unterstützt außerdem das Laden eines Berichts im Berichts-Generator. Beim Berichts-Generator handelt es sich um eine Clientanwendung, die einen Bericht unabhängig von einem Berichtsserver verarbeiten kann. Die Aufgabe Berichtsdefinitionen ausführen ist zum Verwenden mit dem Berichts-Generator gedacht. Wenn Sie den Berichts-Generator nicht verwenden, können Sie diese Aufgabe aus der Systembenutzer-Rolle entfernen.

In der folgenden Tabelle werden die in der Systembenutzer-Rollendefinition enthaltenen Aufgaben aufgeführt:

Systembenutzeraufgaben

Mithilfe der Systembenutzer -Rolle kann die Standardsicherheit ergänzt werden. Sie können die Rolle in neuen Rollenzuweisungen verwenden, die den Berichtsserverzugriff auf Berichtsbenutzer erweitern. Weitere Informationen finden Sie unter Erteilen von Berechtigungen für einen Berichtsserver im einheitlichen Modus.

Zugehöriger Inhalt

• Rollendefinitionen: Erstellen, Löschen oder Ändern (Management Studio)
• Gewähren von Benutzerzugriff auf einen Berichtsserver
• Aufgaben und Berechtigungen