Назначение разрешений для поддержки интеграции TFS и Project Server

Назначение разрешений является первым шагом в настройке Team Foundation Server и Project Server для поддержки синхронизации данных. Необходимо дать разрешения нескольким учетным записям — администраторам, учетным записям служб и членам групп. Кроме того, необходимо убедиться в том, что определенные учетные записи служб имеют доступ к серверу, на котором размещаются Продукты SharePoint для Project Server, в качестве поставщика общих служб (SSP).

Разрешения следует предоставить после установки расширений Team Foundation Server для интеграции Project Server. Для получения дополнительной информации см. Требования к системе и установке для поддержки интеграции TFS и Project Server.

Перед началом работы

Перед началом работы полезно узнать, какие экземпляры PWA и TFS коллекции командных проектов будут участвовать в синхронизации данных. Также полезно узнать ответы на следующие вопросы.

Имеются ли у вас все разрешения, необходимые для назначения разрешений?

Убедитесь, что входите в следующие группы.

• Членство в группе администраторов Team Foundation необходимо для предоставления разрешений на TFS. Кроме того, нужен доступ к консоли администрирования Team Foundation. Set administrator permissions for Team Foundation Server.

• Роль администратора Project Web App для каждого экземпляра Project Web Access или Project Web App (PWA), необходима для предоставления разрешений на Project Server. Также требуется доступ к Project Server через PWA.

• Группа безопасности Администраторы баз данных SQL Server для Project Server необходима для предоставления разрешений на базы данных публикации и отчетов PWA.

• Для предоставления разрешений на поставщик общих служб требуется членство в группе администраторов фермы, группы администраторов веб-приложения, поддерживающего Project Server, или группы Администрирование SharePoint. Членство в группах зависит от архитектуры безопасности развертывания.

• Роль администратора локального компьютера необходима для использования stsadm.exe.

Правильно ли установлен режим проверки подлинности для используемой версии Project Server?

• Для Project Server 2010.

  Для веб-приложения SharePoint для экземпляра PWA должно быть задано значение Классический режим проверки подлинности. Классический режим проверки подлинности использует проверку подлинности Windows. В SharePoint Server 2010 учетные записи пользователей считаются учетными записями доменных служб Active Directory (AD DS).

  Если установить для экземпляра PWA режим проверки подлинности на основе утверждений, то его нельзя будет зарегистрировать. Если неизвестно, какой режим проверки подлинности установлен, или если требуется переключить этот режим, перейдите в этот раздел.

• Для Project Server 2013.

  Поддерживаются два режима разрешений: режим разрешений SharePoint и режим разрешений Project. Оба эти режима используют проверку подлинности на основе утверждений. Разрешения, которые необходимо назначить, зависят от установленного режима разрешений.

  Режим разрешений SharePoint создает группы SharePoint, которые прямо соответствуют группам безопасности по умолчанию, которые существуют в режиме разрешений Project Server. Эти группы используются для предоставления пользователям различных уровней доступа к проектам и функциям Project Server. Режим разрешений SharePoint появился в Project Server 2013.

  Новые экземпляры Project Web App используют режим разрешений SharePoint по умолчанию. При локальной установке можно изменить этот режим для конкретного экземпляра Project Web App с помощью командлета PowerShell Set-SPProjectPermissionModeWindows.

  Режим разрешений Project Server предоставляет ряд настраиваемых групп безопасности и другие функциональные возможности, которые отличаются от групп SharePoint. Эта платформа безопасности функционирует независимо от разрешений SharePoint в ферме и позволяет точно настроить уровни разрешений для пользователей Project Web App. Это тот же режим разрешений, который был доступен в Project Server 2010.

  Сравнение возможностей, поддерживаемых в каждом режиме безопасности, см.в статье Планирование доступа пользователей в Project Server 2013.

  Если неизвестно, какой режим разрешений установлен, или если требуется переключить этот режим, перейдите в этот раздел.

Были ли созданы группы Windows для эффективного управления учетными записями пользователей?

Чтобы свести к минимуму ручное добавление пользователей в TFS и Project Server, создайте группы Windows или Active Directory. Затем можно добавить эти группы в группы TFS, Project Server и на сайты SharePoint, которые имеют предопределенные разрешения. Кроме того, можно синхронизировать ресурсы с Active Directory между несколькими доменами и лесами.

Дополнительные сведения см. в статье Управление синхронизацией групп безопасности с Active Directory в Project Server 2013.

1.Определите все службы и учетные записи пользователей, которым необходимо назначить разрешения.

Определите учетные записи служб, пользовательские учетные записи или группы Active Directory, которые были настроены и которым понадобится осуществить доступ к ресурсам, поддерживающим синхронизацию данных между TFS и Project Server.

Учетные записи служб

Определите следующие учетные записи служб.

• Учетная запись службы для TFS

  Откройте консоль администрирования Team Foundation. Если используется учетная запись Сетевой службы, поменяйте ее на учетную запись домена.

• Учетная запись службы для обработчика событий Project Server

  На машине, где установлен Project Server, откройте Мой компьютер>Управление службами и найдитеСлужба событий Microsoft Project Server.

• Учетная (-ые) запись (-и) службы, которая запускает пул (-ы) веб-приложения Project Server.

  Здесь может быть несколько учетных записей служб, в зависимости от количества экземпляров PWA, которые будут участвовать в синхронизации данных TFS. Необходимо определить как SharePoint appPool, на которой находится PWA, так и службу PSI appPool. Имя GUID appPool может быть связано со службой PSI appPool.

  1. Откройте "Центральное администрирование сайтов SharePoint", "Управление приложениями", "Управление приложением-службой", Приложение Project Server.

     Найдите сайт SharePoint, на котором находится экземпляр PWA. Запишите число. Оно может состоять из одного или нескольких портов, например SharePoint 80 или SharePoint web app.

  2. Откройте диспетчер служб IIS, раскройте сайты и найдите веб-сайты SharePoint, которые соответствуют определенным вами PWA.

     • Для Project Server 2010: откройте дополнительные настройки для Пула приложений, где вы найдете идентификатор учетной записи для AppPool.

     • Для Project Server 2013: раскройте веб службы SharePoint и раскрывайте каждый GUID, пока не найдете тот, который содержит службу проекта PSI. В дополнительных параметрах определите пул приложений, который является именем пула GUID.

       

          

       В разделе IIS, AppPools найдите учетную запись, используемую для запуска пула приложений с этим идентификатором GUID.

       

Учетные записи пользователей

Определите следующие пользовательские учетные записи или группы.

• Учетные записи пользователей, которые будут выполнять команду TFSProjectServer registerPWA

• Учетные записи пользователей, которые будут сопоставлять компоненты для поддержки интеграции TFS-Project Server, но не регистрировать экземпляры PWA

• Пользователи Project Professional

• Пользователи, назначенные в качестве ресурсов проекта или имеющие назначенные им рабочие элементы TFS.

  Эти пользователи отправляют обновления состояний, поступающие в очередь состояний для руководителя проекта

В зависимости от роли, вы даете разрешения каждому экземпляру PWA, который принимает участие в синхронизации данных с сервером SharePoint, с пулом ресурсов предприятия и с TFS.

2.Предоставить разрешения на доступ к каждому экземпляру PWA

Выполните следующие задачи, исходя из версии и используемого режима разрешений в вашем развертывании. Необходимо добавить учетные записи для каждого экземпляра PWA, который будет регистрироваться и сопоставляться с командным проектом.

2—1 Предоставьте глобальные разрешения.

Требуется для: и

1. На странице параметров PWA откройте "Управление пользователями" и выберите "Создать пользователя".

2. Добавьте учетную запись службы TFS.

3. Введите требуемые сведения в каждом поле. Примите во внимание следующее.

   1. Снимите флажок Пользователь может быть назначен в качестве ресурса, так как учетная запись является учетной записью службы.

   2. В поле Проверка подлинности пользователя введите имя учетной записи службы TFS.

   3. Назначьте следующие глобальные разрешения.

      • Администрирование: управление корпоративными настраиваемыми полями, управление событиями сервера, управление службами сайта, управление пользователями и группами.

      • Общие: вход, назначение новой задачи и переназначение задачи.

      • Проект: формирование рабочей группы для нового проекта.

      • Просмотр: просмотр утверждений, просмотр центра проектов, просмотр центра ресурсов и просмотр центра задач.

4. Сохраните изменения.

2—2 Предоставьте разрешения категории.

Требуется для: и

1. На домашней странице PWA на панели быстрого запуска выберите пункт Параметры сервера.

2. Затем выберите Управление категориями и Создать категорию.

3. Введите имя категории для учетной записи службы, например, Учетная запись обслуживания.

4. В списке Доступные пользователи выберите имя учетной записи службы Team Foundation Server, а затем нажмите кнопку Добавить.

   

5. В разделе "Проекты" выберите пункт Все текущие и будущие проекты в базе данных сервера Project Server и нажмите кнопку Сохранить.

6. Добавьте учетную запись службы TFS и установите флажки для следующих разрешений категории.

   • Проект: открытие проекта и просмотр сайта проекта.

   • Ресурс: просмотр данных корпоративных ресурсов.

   

2—3 Добавьте учетные записи в группу безопасности PWA.

Требуется для:   и

1. На странице параметров PWA откройте "Управление пользователями", выберите "Создать пользователя" и затем введите требуемые сведения в каждом поле.

   • Снимите флажок Пользователь может быть назначен в качестве ресурса, если учетная запись является учетной записью службы.

   • В поле Проверка подлинности пользователя введите имя учетной записи пользователя или учетной записи службы TFS.

   • Снимите флажок Допускается выравнивание для ресурса, если учетная запись является учетной записью администратора или службы.

2. Для групп безопасности добавьте учетную запись или группу в одну из групп по умолчанию.

   1. Администраторы: учетная запись службы TFS и учетные записи пользователей, которые настраивают интеграцию, тех, кто регистрирует или отменяет регистрацию экземпляров PWA.

   2. Руководители проектов: пользователи, работающие с Project Professional и PWA.

   3. Члены группы: пользователи, назначенные как ресурсы, и которые назначены рабочим элементам TFS.

3. После настройки разрешений категории убедитесь, что члены группы имеют следующие категории безопасности: Создание новой задачи или назначения, Создание ссылок на объекты, Открытие проекта, Просмотр сайта проекта и Просмотр календарного плана проекта в Project Web App (Project Server 2010).

   

   Для Project Server 2013 с режим разрешений выберите: "Открытие проекта", "Просмотр сайта проекта" и "Просмотр календарного плана проекта в Project Web App".

   Чтобы изменить разрешения категории для выбранного пользователя в категории, выберите категорию в списке выбранных категорий, а затем установите Разрешить для разрешений, которые требуется разрешить.

4. Сохраните изменения.

Дополнительные сведения см. в статье Добавление учетных записей пользователя в Project Server 2013 или Планирование доступа пользователей в Project Server 2013.

2—4 Добавьте учетные записи в группу безопасности PWA (режим SharePoint).

Требуется для:  

1. На домашней странице PWA щелкните значок шестеренки и выберите пункт Параметры сайта.

   

2. Откройте "Администраторы семейства сайтов" и добавьте учетную запись службы TFS.

3. Откройте Пользователи и группы.

   

4. Выберите группу, в которую необходимо добавить учетные записи.

   

   1. Участники группы для Project Web App: добавьте учетные записи пользователей, которые назначены как ресурсы, в план проекта или в поле "Назначено" рабочего элемента. Либо добавьте группу Active Directory, используемую для управления этими ресурсами.

   2. Администраторы Project Web App: учетные записи служб для Team Foundation Server, пул веб-приложений Project Server и обработчик событий Project Server. Кроме того, добавьте учетные записи пользователей, которые настраивают интеграцию с помощью команд TfsAdmin ProjectServer RegisterPWA/UnRegisterPWA.

   3. Администраторы семейства сайтов PWA: учетные записи пользователей, которые настраивают интеграцию с помощью команд TfsAdmin ProjectServer RegisterPWA/UnRegisterPWA.

   4. Руководители проектов для Project Web App: учетные записи пользователей Project Professional.

   Совет

   Чтобы просмотреть все группы по умолчанию, выберите пункт Дополнительно.Чтобы просмотреть разрешения, назначенные каждой группе, последовательно выберите пункты Параметры, Просмотреть разрешения группы.Подробнее см. в статье Планирование доступа пользователей в Project Server 2013.

5. На странице группы последовательно выберите Создать, Добавить пользователей.

6. Введите имя каждой учетной записи или группы Active Directory, которую нужно добавить в выбранную группу.

   

7. Нажмите кнопку Общий доступ.

2—5 Добавьте пользовательские учетные записи в корпоративный пул ресурсов Active Directory.

Требуется для:  , и

1. На странице настроек PWA в разделе действующих политик выберите синхронизации пула ресурсов с Active Directory.

   

2. Добавьте членов группы TFS группы Active Directory в пул корпоративных ресурсов.

   

3.Предоставление разрешений SharePoint Server

Предоставьте особые разрешения с помощью центра администрирования SharePoint. Или можно использовать Windows PowerShell.

3—1 Предоставьте разрешения Полного управления подключением для запуска Приложения службы сервера проектов.

Требуется для:   и

1. Войдите на сервер SharePoint для Project Server, откройте центр администрирования SharePoint и в разделе Управление приложениями, выберите Управление приложениями-службами.

   

2. Выделите строку приложения-службы Project Server, щелкнув строку, но не имя приложения. На ленте выберите Разрешения.

   

3. Введите имя учетной записи службы для TFS, а затем нажмите кнопку Добавить.

4. Убедитесь, что имя только что добавленной учетной записи выделено, и установите флажок Полный доступ. Нажмите кнопку ОК.

   

5. Повторите шаги 3 и 4, на этот раз добавляя учетную запись службы для учетной записи службы обработчика событий Project Server. Если имеется несколько учетных записей службы, необходимо добавить их все.

Дополнительные сведения см. в статье Ограничение или разрешение доступа к приложению-службе (SharePoint 2013).

3—2.Добавьте учетную запись службы TFS в группу администраторов семейства сайтов.

Требуется для: 

1. Войдите на сервер SharePoint для Project Server, откройте центр администрирования SharePoint 2013, щелкните значок шестеренки и выберите пункт Параметры сайта.

   

2. Выберите Администраторы семейства веб-сайтов.

   

3. Введите имя учетной записи службы TFS, а затем нажмите кнопку "ОК".

4.Предоставление разрешений для базы данных Project Server

Требуется для:  , и

Предоставьте разрешения учетной записи службы TFS и учетной записи службы пула веб-приложений Project Server, чтобы обновить базы данных для каждого экземпляра PWA. Этот шаг является обязательным для всех развертываний, как для Project Server 2010, так и для и Project Server 2013.

1. На сервере уровня данных для Project Server откройте SQL Server Management Studio.

2. В списке Тип сервера выберите Ядро СУБД.

3. В поле Имя сервера введите имя сервера, на котором размещаются базы данных Project Server, а затем выберите Подключить.

   Примечание

   Если сервер SQL Server установлен в кластере, введите имя кластера, а не имя компьютера.Если вы указали именованный экземпляр, введите имена сервера и экземпляра в следующем формате: Сервер_баз_данных\Имя_экземпляра.

   Откроется SQL Server Management Studio.

4. Разверните узел Базы данных, щелкните правой кнопкой мыши или откройте контекстное меню для базы данных экземпляра PWA и выберите пункт Свойства.

   • Для Project Server 2010: PWA_Reporting или PWA_Publishing.

   • Для Project Server 2013: ProjectWebApp.

5. На странице Разрешения. Добавьте учетную запись службы для TFS (требуется для Project Server 2010 и для Project Server 2013 в режиме разрешения).

   Для SQL Server 2008: нажмите Добавить, чтобы добавить учетную запись.

   Для SQL Server 2012: нажмите Поиск, чтобы добавить учетную запись.

   

6. Предоставьте эти разрешения на основе выбранной базы данных.

   • Для Project Server 2010: PWA_Reporting — Изменение любой схемы, Создание таблицы, Удаление , Выполнение, Вставка, Выбор и Обновление.

   • Для Project Server 2010: PWA_Publishing — Выбор.

   • Для Project Server 2013: ProjectWebApp — Изменение любой схемы, Создание таблицы, Удаление , Выполнение, Вставка, Выбор и Обновление.

   

7. Повторите шаги 5-6, на этот раз добавляя учетную запись службы пула веб-приложений Project Server. Это необходимо для всех развертываний.

8. Повторите шаги с 4 по 7 для каждого экземпляра PWA, который будет участвовать в синхронизации данных с TFS.

5.Добавление учетных записей в группу администраторов Team Foundation

Требуется для:  , и

1. На сервере уровня приложений Открытие консоли администрирования Team Foundation и откройте раздел Членство в группе.

   

2. Откройте раздел Администраторы Team Foundation.

3. Выберите пользователя или группу Windows, а затем нажмите кнопку "Добавить".

   

4. Введите имена учетных записей пользователей, которые настраивают интеграцию с помощью команд TfsAdmin ProjectServer RegisterPWA/UnRegisterPWA.

   

6.Предоставление разрешений на администрирование интеграции Project Server.

Требуется для:  , и

Учетным записям пользователей, которые настраивают интеграцию TFS-Project Server, требуется набор разрешений для администрирования интеграции с Project Server. Установите это для каждой коллекции проектов, сопоставленной с экземпляром PWA.

Со страницы безопасности для коллекции проектов откройте разрешения для пользовательской учетной записи или учетной записи Windows, которую вы добавили в TFS для администрирования интеграции с Project Server. Для разрешений на администрирование интеграции с Project Server установите значение "Разрешить".

7.Добавление учетных записей в группы Team Foundation

Требуется для:  , и

Учетным записям пользователей, работающих в Project Professional или TFS, необходимы разрешения на просмотр или участие в TFS.

Со страницы безопасности администрирования TWA для командного проекта можно добавлять учетные записи либо в коллекцию проектов, либо в каждый командный проект. Добавьте учетные записи или группы Active Directory в соответствующие роли.

Проверьте, чтобы пользовательские учетные записи или группы были добавлены в следующие группы TFS для каждого командного проекта, который будет участвовать в синхронизации данных.

• Роль Участник: члены группы, работающие в проекте TFS, интегрированном с Project Server. Сюда входят учетные записи пользователей, назначенные в качестве ресурсов в плане проекта или присвоенные полю "Кому назначено" рабочего элемента. Эти пользователи отправляют обновления состояний, поступающие в очередь состояний для руководителя проекта.

• Роль Читатель: пользователям, которые изменяют планы корпоративных проектов, сопоставленные с командным проектом.

Дополнительные сведения см. в разделе Добавление пользователей в командные проекты.

Контрольный список разрешений

Используйте следующий контрольный список для проверки того, что все разрешения были установлены в соответствии с вашей версии и режимом проверки подлинности. Запомните, что разрешения должны предоставляться учетным записям для всех экземпляров PWA, командных проектов и коллекций проектов, которые будут участвовать в синхронизации данных между TFS и Project Server. Если настроить роль или категорию безопасности для роли, можно непреднамеренно удалить требуемые разрешения.

Примечания.

1. В некоторых развертываниях может существовать несколько учетных записей службы для пула веб-приложений Project Server. Перейдите сюда, чтобы определить учетные записи служб для этих пулов приложений.

2. Категорий безопасности, назначенных членам группы по умолчанию, достаточно; тем не менее если эти категории настраивались, то некоторые разрешения могли быть удалены. Следующие категории являются обязательными: Создание новой задачи или назначения, Создание ссылок на объекты, Открытие проекта, Просмотр сайта проекта и Просмотр календарного плана проекта в Project Web App (Project Server 2010), а также Открытие проекта, Просмотр сайта проекта и Просмотр календарного плана проекта в Project Web App (Project Server 2013, режим разрешений Project).

Вопросы и ответы

Вопрос. Каким образом можно определить или изменить режим проверки подлинности в SharePoint 2010?

Ответ. На сайте центра администрирования SharePoint 2010 откройте "Управление веб-приложениями" в разделе управления приложениями, а затем откройте приложение PWA.

Убедитесь, что выбран классический режим проверки подлинности.

В противном случае необходимо создать новый экземпляр PWA, который использует классическую проверку подлинности Windows.

Вопрос. Как определить режим разрешений в SharePoint 2013?

Ответ. На домашней странице PWA щелкните значок шестеренки и выберите пункт Параметры PWA.

Если режим разрешений SharePoint установлен, то вы увидите такую страницу:

Если установлен режим разрешений проекта Project, вы увидите эту страницу, содержащую раздел с названием Безопасность. Вы также увидите дополнительные ссылки:

Вопрос. Как переключать режимы разрешений в Project Server 2013?

Ответ. По умолчанию приложения PWA создаются в режиме разрешений SharePoint.

При переключении из режима разрешений SharePoint в классический режим разрешений Project Server необходимо вручную настроить структуру разрешений безопасности в Project Server 2013. Переключение между режимом разрешений SharePoint и режимом разрешений Project Server удаляет все параметры, связанные с безопасностью.

Для переключения режима разрешений Project Server используется командлет Set-SPProjectPermissionMode.

Вопрос. Какие другие ресурсы доступны?

Ответ. Ответы на дополнительные вопросы см. в следующих ресурсах.

См. также

Задачи

Настройка интеграции TFS и Project Server

Основные понятия

Настройка краткого справочника

Общие сведения о процессе синхронизации для интеграции TFS и Project Server

Администрирование интеграции Team Foundation Server и Project Server