Разрешения Team Foundation Server

Можно управлять доступом к командным проектам и коллекциям командных проектов в развертывании Visual Studio Team Foundation Server (TFS), изучая и настраивая разрешения, предоставленные пользователям и группам в этом развертывании.Team Foundation Server включает в себя несколько служебных программ для просмотра и управления разрешениями.Для отдельных пользователей и групп используйте Team Web Access, выполняя процедуры в View or change your permissions or join another team или используйте Team Explorer, следуя процедурам в Изменение разрешений для группы или пользователя.Можно также использовать эти средства, чтобы запрещать пользователям доступ к командным проектам.Для получения дополнительной информации см. Restricting access to projects in the deployment.

Примечание

В этом разделе обсуждаются разрешения для Продукты SharePoint или служб отчетов SQL Server.Здесь обсуждаются только те разрешения, которые задаются в TFS.Дополнительные сведения о том, как настраивать разрешения в службах отчетов Продукты SharePoint для пользователей в TFS см. в разделах Добавление пользователей в командные проекты, Задание разрешений администратора для коллекций командных проектов и Задание разрешений администратора на сервере Team Foundation Server.

Содержание раздела

• Новые возможности разрешений

• Обзор групп разрешений по умолчанию

• Состояния разрешения

  • Запрет

  • Разрешить

  • Не задано

• Наследование

• Установка разрешений

  • Разрешения уровня сервера

  • Разрешения уровня коллекции

  • Разрешения уровня проекта

  • Разрешения уровня построения

  • Разрешения запроса рабочего элемента

  • Разрешения уровня области для отслеживания рабочих элементов

  • Разрешения уровня итерации для отслеживания рабочих элементов

  • Разрешения системы управления версиями

  • Разрешения Lab Management

Новые возможности разрешений

В этом выпуске Team Foundation Server интерфейс управления для разрешений в значительной степени сдвинулся в сторону Team Web Access.Можно открыть Team Web Access в контексте администрирования и просматривать и управлять разрешениями на каждом уровне, за исключением уровня сервера.Кроме того, можно просматривать сведения о том, почему и как были установлены отдельные разрешения для пользователя или группы, задержав указатель над этим разрешением, а затем выбрав пункт Почему?.

В данном выпуске Team Foundation Server также создается группа команды по умолчанию при создании командного проекта.Хотя командные группы и не имеют настраиваемых вручную разрешений, членство в этой группе необходимо пользователям для использования функций команды в Team Web Access.Кроме того, эта командная группа по умолчанию автоматически добавляется в группу по умолчанию Участники для проекта.Если не внести изменения, любой пользователь, добавляемый в команду, будет иметь разрешения, предоставленные группе "Участники".

В Team Web Access есть новые элементы управления для отображения функций, доступных пользователям; членство в группах доступа для Team Web Access управляет тем, может ли пользователь просматривать и использовать эти элементы управления.Можно настроить уровни доступа для пользователей и групп, а также задать уровень по умолчанию для всего развертывания TFS.Для получения дополнительной информации см. Доступ к функциям Team Web Access.

Обзор групп разрешений по умолчанию

Разрешения определяют авторизацию для таких пользовательских действий, как администрирование рабочей области и создание проекта.Во время создания проекта в TFS для данного проекта создается пять групп по умолчанию, независимо от выбранного шаблона процесса.По умолчанию каждая из этих групп имеет набор определенных для них разрешений. Эти разрешения определяют, что могут делать участники данных групп.

• Администраторы проектов

• Участники

• Читатели

• Администраторы построения

• Группа команды по умолчанию, имя которой состоит из имени проекта с добавленным окончанием "Team".Например, если создать командный проект с именем "Образец кода", имя группы для команды будет "Команда образца кода".

Помимо групп по умолчанию, созданных для каждого командного проекта, при создании коллекции командных проектов для нее создаются семь групп по умолчанию независимо от выбранного шаблона процесса.Каждая из этих групп имеет также заранее определенный набор разрешений.

• Администраторы коллекций проектов

• Учетные записи служб коллекций проектов

• Администраторы построения коллекций проектов

• Учетные записи служб построения коллекций проектов

• Допустимые пользователи коллекций проектов

• Учетные записи служб прокси-сервера коллекций проектов

• Учетные записи служб тестирования коллекций проектов

При установке Team Foundation Server создаются следующие четыре группы по умолчанию.Каждая из этих групп имеет заранее определенный набор разрешений.

• Администраторы Team Foundation

• Учетные записи Team Foundation Service

• Допустимые пользователи Team Foundation

• Службы веб-приложений SharePoint

Чтобы эффективно управлять членством в этих группах по умолчанию и создавать настраиваемые группы, администраторы должны понимать смысл разрешений и их влияние на безопасность, прежде чем явно назначать разрешения.Дополнительные сведения о том, какие разрешения назначаются по умолчанию для каждой группы, см. в разделе Группы по умолчанию, права и роли в Team Foundation Server.

Совет

Некоторые функции в TFS доступны только для пользователей, имеющих подходящий уровень лицензирования для этих функций.Доступ к этим функциям управляется не разрешениями, а членством в группах лицензирования для Team Web Access.Дополнительные сведения см. в разделах Добавление пользователей в командные проекты, Доступ к функциям Team Web Access и в технической документации по лицензированию сервера Team Foundation Server.

Состояния разрешения

В Team Foundation Server для разрешений можно задавать два явных состояния авторизации: Запретить и Разрешить.Возможна также неявная авторизация, которая не задает для разрешения значение Разрешить или значение Запретить.Данная авторизация является неявным состоянием Запретить и имеет значение Не задано.

Запрет

Установка "Запретить" запрещает авторизацию пользователя или группы на выполнение действий, которые определяются в описании разрешения."Запретить" — это наиболее влиятельное состояние разрешения в TFS.Если пользователь входит в группу TFS, для которой определенное разрешение имеет значение Запретить, этот пользователь не может выполнять данную функцию, даже если он входит в другую группу, для которой данное разрешение имеет значение Разрешить.Единственное исключение из этого правила возникает, когда пользователь является участником либо группы Администраторы проекта для проекта, либо группы Администраторы коллекции проектов для коллекции командных проектов, либо группы Администраторы Team Foundation, если иное не указано в описании разрешения.По умолчанию если пользователь является участником группы "Администраторы", полномочия этой группы переопределяют явное значение "Запретить" для данного пользователя в Team Foundation Server.Если настройка разрешений переопределяет административное разрешение по умолчанию, это переопределение отмечается в описании разрешения в таблицах ниже.

Разрешить

Значение "Разрешить" дает разрешение пользователю или группе выполнять действия, определенные в описании разрешения."Разрешить" — это второе по силе состояние разрешений в TFS, очень часто используемая как явно, так и посредством наследования в Разрешить унаследованные.Если не задать для разрешения значение Разрешить явным образом, или членство в группе по умолчанию не устанавливает для разрешения значение Разрешить унаследованные, пользователь или группа не могут выполнять это действие в .

Не задано

По умолчанию большинство разрешений в TFS не имеют значения Запретить или Разрешить.Разрешения остаются не заданы, что неявно запрещает пользователям и группам выполнять действия, которые определены в описании разрешения.Однако так как разрешение не имеет явного значения Запретить или Разрешить, авторизация для данного разрешения может наследоваться от других групп, чьим участником является пользователь или группа.

Наследование

Если разрешение не задано для пользователя или группы, на пользователя или группу могут оказывать влияние явные параметры разрешений для группы, куда они включены, так как разрешения в TFS наследуются.Например, при проверке разрешений для пользователя или группы можно встретить как значения Разрешить, так и Разрешить унаследованные.Последнее разрешение унаследовано от некоторой другой группы, к которой принадлежит пользователь или группа.В этом примере пользователь может принадлежать к группе на уровне проекта и к группе на уровне коллекции в проекте.Если одна из этих групп имеет разрешение, явно заданное как Разрешить, а для другой группы это же разрешение не задано, пользователь будет иметь разрешение разрешить унаследованные на выполнение действий, контролируемых данным разрешением.Пользователь наследует разрешения от обеих групп, и разрешение Разрешить имеет приоритет перед разрешением не задано.

Чтобы понять, почему разрешение унаследовано, можно подвести указатель к настройке разрешения, а затем выбрать Почему?.Будет открыто новое окно, в котором отображаются сведения о наследовании для этого разрешения.

Примечание
Разрешения, которые настраиваются вне TFS, например в Продукты SharePoint, не наследуются в TFS.В данном разделе они не обсуждаются.

Определенные параметры авторизации имеют приоритет над другими параметрами авторизации.В TFS разрешение Запретить имеет приоритет перед всеми остальными значениями разрешений, включая Разрешить, для явной структуры.Разрешение Запретить не имеет приоритета. если наследуется от иерархического родительского объекта, как в управлении версиями.Например, пользователь может быть участником двух групп проекта.В одной группе разрешение Публиковать результаты теста имеет значение Запретить; в другой группе то же разрешение имеет значение Разрешить.Параметр Запретить имеет приоритет, и пользователь не может публиковать результаты теста.Единственное исключение из этого правила происходит, когда либо явное разрешение Запретить наследуется от иерархического "родителя", или пользователь является участником одной из следующих групп:

• Администраторы проектов

• Администраторы коллекций проектов

• Администраторы Team Foundation

В иерархических структурах, таких как управление версиями и отслеживание рабочих элементов, явные разрешения, заданные для определенного объекта, переопределяют разрешения, унаследованные от родительских объектов.

Установка разрешений

Многие из разрешений, которые можно задать для TFS, управляются через пользовательский интерфейс Team Web Access, который можно открыть непосредственно в Team Web Access или можно открыть из Team Explorer.Разрешения можно настраивать для коллекции (разрешения уровня коллекции), для проекта (разрешения уровня проекта) или для команды путем добавления пользователя в группу команды.(Разрешения уровня группы в членстве команды являются неявными и не допускают непосредственную настройку.) Также можно настраивать разрешения уровня области и итерации, чтобы просматривать рабочие элементы на уровне проекта и взаимодействовать с ними.Дополнительные сведения о том, как настраивать разрешения для пользователей и групп, см. в разделах Начало работы в команде и Добавление пользователей в командные проекты.

Для задания разрешений на уровне сервера (разрешения уровня сервера) нельзя использовать Team Web Access.Необходимо использовать консоль администрирования Team Foundation Server, чтобы установить разрешения на уровне сервера.

Разрешения уровня сервера

Разрешения уровня сервера не настраиваются для отдельного командного проекта или коллекции командных проектов.Они устанавливаются на уровне развертывания и могут влиять на каждый проект и коллекцию в развертывании.

Данные разрешения можно настроить только для двух категорий пользователей:

• пользователи и группы уровня сервера, например Администраторы Team Foundation;

• настраиваемые группы, созданные и добавленные на уровне сервера.

Можно установить эти разрешения, открыв консоль администрирования для Team Foundation.Данные разрешения также можно настроить с помощью служебной программы командной строки TFSSecurity.Дополнительные сведения см. в разделах Настройка сервера с помощью консоли администрирования Team Foundation и Изменение групп и разрешений с помощью программы TFSSecurity.

В следующей таблице перечислены разрешения уровня сервера и приведено краткое описание их назначения.

Имя разрешения	Имя в командной строке	Описание
Управление хранилищем	ADMINISTER_WAREHOUSE	Пользователи с данным разрешением могут изменить параметры хранилища с помощью веб-метода ChangeSetting веб-службы WarehouseController.asmx.Например, можно разрешить пользователям настраивать интервал обновления при расчете кубов OLAP.
Создать коллекцию командных проектов	CreateCollection	Пользователи, имеющие это разрешение, могут создавать и администрировать коллекции командных проектов в Team Foundation Server.
Удалить коллекцию командных проектов	DeleteCollection	Пользователи, имеющие это разрешение, могут удалить коллекцию командных проектов из развертывания. Примечание При удалении коллекции командных проектов база данных этой коллекции из SQL Server не удаляется.
Изменить сведения на уровне экземпляра	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Пользователи с данным разрешением могут изменять разрешения уровня сервера для пользователей и групп в Team Foundation Server.Они могут добавлять или удалять группы приложений уровня сервера в коллекции.При настройке через меню разрешение Изменить сведения на уровне экземпляра также неявно разрешает пользователю изменять разрешения для системы управления версиями.Чтобы предоставить все вышеуказанные разрешения из командной строки, следует использовать команду tf.exe Permission для предоставления разрешений AdminConfiguration и AdminConnections в дополнение к команде GENERIC_WRITE. Примечание Группы уровня сервера по умолчанию, например "Администраторы Team Foundation", удалить нельзя.
Выполнять запросы от чужого имени	Impersonate	Пользователи, имеющие это разрешение, могут выполнять операции от имени других пользователей или служб.Данное разрешение должно присваиваться только учетным записям служб.
Активировать события	TRIGGER_EVENT	Пользователи с данным разрешением могут актировать события оповещения в Team Foundation Server.Это разрешение должно назначаться только учетным записям служб и участникам группы "Администраторы Team Foundation".
Использовать все возможности веб-клиента	FullAccess	Пользователи с таким разрешением могут использовать все возможности Team Web Access.Если разрешение задано в значении "Запретить", пользователь увидит только компоненты, разрешенные для группы Ограниченная в Team Web Access (см. раздел Доступ к функциям Team Web Access).Метод Deny переопределяет все неявные разрешения, даже для учетных записей, являющихся членами административных групп, таких как "Администраторы Team Foundation".
Просмотр сведений уровня экземпляра	GENERIC_READ	Пользователи с данным разрешением могут просматривать участников групп на уровне сервера, а также их разрешения.

Разрешения уровня коллекции

Разрешения уровня коллекции не настраиваются для отдельных проектов.Они устанавливаются для всей коллекции.Данные разрешения можно настроить только для трех категорий пользователей:

• пользователи и группы уровня коллекции, например "Администраторы коллекции проектов";

• группы уровня проекта, добавленные на уровне коллекции на сервере, где выполняется Team Foundation;

• настраиваемые группы, созданные и добавленные на уровне коллекции.

Чтобы настроить эти разрешения, выберите коллекцию в Team Explorer, выберите меню Команда, выберите Параметры коллекции командных проектов, а затем выберите Безопасность, либо откройте Team Web Access в режиме администрирования, перейдите к уровню коллекции, а затем выберите вкладку Безопасность.Данные разрешения можно настроить и с помощью служебной программы командной строки TFSSecurity, кроме служебных программ командной строки с обозначением tf:.Если служебная программа имеет обозначение tf:, для настройки разрешений следует использовать команду Permission служебной программы командной строки tf для системы управления версиями.Дополнительные сведения см. в разделах Изменение групп и разрешений с помощью программы TFSSecurity и Permission Command.

Имя разрешения	Имя в командной строке	Описание
Администрирование разрешений для ресурсов построения		Пользователи с таким разрешением могу администрировать ресурсы построения.
Администрирование интеграции сервера Project Server	AdministerProjectServer	Пользователи, имеющие это разрешение, могут настраивать интеграцию сервера Team Foundation Server с сервером Project Server, чтобы поддерживать синхронизацию между этими двумя серверными продуктами.
Управление отложенными изменениями	tf: AdminShelvesets	Пользователи с данным разрешением могут удалять наборы отложенных изменений, созданные другими пользователями.
Управление рабочими областями	tf: AdminWorkspaces	Пользователи с данным разрешением могут создавать рабочие области для других пользователей и удалять рабочие области, созданные другими пользователями.
Изменить параметры трассировки	DIAGNOSTIC_TRACE	Пользователи с данным разрешением могут изменять параметры трассировки, чтобы собирать более подробные диагностические сведения о веб-службах Team Foundation Server.
Создать рабочую область	tf: CreateWorkspace	Пользователи с данным разрешением могут создавать рабочую область системы управления версиями.
Создать новые проекты	CREATE_PROJECTS	Пользователи, имеющие это разрешение, могут создавать проекты в коллекции командных проектов. Примечание Для успешного завершения работы мастера создания командных проектов необходимо не только иметь это разрешение, но и запустить Visual Studio от имени администратора.Дополнительные сведения см. в разделе Создание командного проекта.
Удалить командный проект	Удаление	Пользователи, имеющие это разрешение, могут удалять командные проекты из коллекции командных проектов. Важно Удаление командного проекта приведет к удалению всех данных, связанных с этим проектом.Отменить удаление командного проекта невозможно, за исключением восстановления коллекции к точке до удаления этого проекта.
Изменить сведения на уровне коллекции	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Пользователи с таким разрешением могут изменять разрешения уровня коллекции для пользователей и групп в коллекции командных проектов.Они могут добавлять в коллекцию или удалять из коллекции группы приложений уровня коллекции Team Foundation Server.При настройке через меню разрешение Изменить сведения на уровне коллекции также неявно разрешает пользователю изменять разрешения для системы управления версиями.Чтобы предоставить все вышеуказанные разрешения из командной строки, следует использовать команду tf.exe Permission для предоставления разрешений AdminConfiguration и AdminConnections в дополнение к команде GENERIC_WRITE. Примечание Группы уровня коллекции по умолчанию, например "Администраторы коллекции проектов", удалить нельзя.
Выполнять запросы от чужого имени	Impersonate	Пользователи, имеющие это разрешение, могут выполнять операции от имени других пользователей или служб.Данное разрешение должно присваиваться только учетным записям служб.
Управление ресурсами построения	ManageBuildResources	Пользователи с таким разрешением могут управлять компьютерами построения, агентами построения и контроллерами построений для коллекции командных проектов.Эти пользователи могут также предоставлять или отказывать в разрешениях Просмотр ресурсов построения и Использовать ресурсы построения другим пользователям.
Управление шаблонами процессов	MANAGE_TEMPLATE	Пользователи с данным разрешением могут загружать, создавать, редактировать и отправлять шаблоны в коллекцию командных проектов.
Управление контроллерами тестов	MANAGE_TEST_CONTROLLERS	Пользователи с таким разрешением могут регистрировать и отменять регистрацию контроллеров тестирования в коллекции командных проектов.
Управление типами ссылок рабочих элементов	WORK_ITEM_WRITE	Пользователи с таким разрешением могут добавлять, удалять и изменять типы ссылок для рабочих элементов.
Активировать события	TRIGGER_EVENT	Пользователи, имеющие это разрешение, могут актировать события оповещения проекта в коллекции командных проектов.Данное разрешение должно присваиваться только учетным записям служб.
Использовать ресурсы построения	UseBuildResources	Пользователи с таким разрешением могут резервировать и выделять агенты построения.Данное разрешение следует присваивать только учетным записям служб для служб построения.
Просмотр ресурсов построения	ViewBuildResources	Пользователи с таким разрешением могут просматривать компьютеры построения и агенты построения, настроенные для коллекции.Для использования этих ресурсов требуются дополнительные разрешения.
Просмотр информации на уровне коллекции	GENERIC_READ	Пользователи с данным разрешением могут видеть участников групп на уровне коллекции, а также их разрешения.
Просмотр сведений о синхронизации системы	SYNCHRONIZE_READ	Пользователи с таким разрешением могу вызывать программные интерфейсы синхронизации.Данное разрешение должно присваиваться только учетным записям служб.

Разрешения уровня проекта

Разрешения уровня проекта применяются к пользователям и группам отдельного проекта.Чтобы настроить эти разрешения, выберите проект в Team Explorer, выберите меню Параметры, а затем выберите Безопасность, либо откройте Team Web Access в режиме администрирования, перейдите к уровню проекта, а затем выберите вкладку Безопасность.Данные разрешения также можно настроить с помощью служебной программы командной строки TFSSecurity.

Разрешения уровня построения

Разрешения уровня построения применяются к пользователям и группам отдельного проекта.Можно задать разрешения построения на уровне командного проекта и предоставить разрешения на определенные определения построений.Чтобы настроить данные разрешения путем открытия проекта в Team Explorer, выберите Построения, затем в разделе Действия выберите Безопасность.Можно применить разрешения к определенному определению построения, выбрав определение построения, затем выбрав Безопасность.Если требуется применить разрешения к папке построения, выберите эту папку, затем в контекстном меню выберите команду Безопасность.Кроме того, данные разрешения можно настроить с помощью программы командной строки TFSSecurity.

Разрешения запроса рабочего элемента

Разрешения запросов рабочих элементов относятся только к создаваемым вами запросам и папкам запросов.Разрешения настраиваются для открытия или ограничения доступа к запросам и папкам, созданным в разделе Командные запросы.Чтобы настроить данные разрешения, выберите проект в Team Explorer, откройте Рабочие элементы, откройте подменю для запроса или папки, для которой необходимо задать разрешения, а затем выберите Безопасность.Можно также задать эти разрешения по запросу в Team Web Access.Кроме того, данные разрешения можно настроить с помощью программы командной строки TFSSecurity.

Разрешения уровня области для отслеживания рабочих элементов

Разрешения уровня области применяются к пользователям и группам отдельного проекта.Чтобы настроить эти разрешения, выберите проект в Team Explorer, выберите "Параметры", выберите "Области рабочих элементов", выберите стрелку вниз, а затем выберите "Безопасность", либо откройте Team Web Access в контексте администрирования, перейдите к уровню проекта, выберите вкладку Области, выберите стрелку вниз, а затем выберите Безопасность.Кроме того, данные разрешения можно настроить с помощью программы командной строки TFSSecurity.

Примечание
Для некоторых операций отслеживания рабочих элементов требуется несколько разрешений.Например, для удаления узла требуется несколько разрешений.

Разрешения уровня итерации для отслеживания рабочих элементов

Разрешения уровня итерации применяются к пользователям и группам отдельного проекта.Чтобы настроить эти разрешения, выберите проект в Team Explorer, выберите Параметры, выберите Итерации рабочих элементов, выберите стрелку вниз, а затем выберите Безопасность, либо откройте Team Web Access в контексте администрирования, перейдите к уровню проекта, выберите вкладку Итерации, выберите стрелку вниз, а затем выберите Безопасность.Кроме того, данные разрешения можно настроить с помощью программы командной строки TFSSecurity.

Примечание
Для некоторых операций отслеживания рабочих элементов требуется несколько разрешений.Например, для удаления узла требуется несколько разрешений.

Разрешения системы управления версиями

Разрешения системы управления версиями применяются к файлам и папкам исходного кода.Эти разрешения можно настроить, открыв подменю для папки или файла в Обозревателе управления исходным кодом, а затем выбрав Безопасность.Данные разрешения также можно настроить с помощью служебной программы командной строки tf для системы управления версиями.

Разрешения Lab Management

Разрешения Visual Studio Lab Management относятся к конкретным виртуальным машинам, средам и другим ресурсам.Данные разрешения можно настроить с помощью служебной программы командной строки TFSLabConfig.

См. также

Задачи

Открытие консоли администрирования Team Foundation

Основные понятия

Начало работы в команде

Настройка пользователей, групп и разрешений

Настройка Lab Management с помощью средства TFSLabConfig

Определение плана тестирования

Другие ресурсы

Подготовка и выполнение односерверной установки [учебник]

Изменение групп и разрешений с помощью программы TFSSecurity

Справочные сведения о командной строке системы управления версиями Team Foundation

Управление разрешениями

Изменение групп и разрешений с помощью программы TFSSecurity