Autorizzazioni per Team Foundation Server

È possibile controllare l'accesso ai progetti team e agli insiemi di progetti team nella distribuzione di Visual Studio Team Foundation Server comprendendo e configurando le autorizzazioni assegnate agli utenti e ai gruppi in tale distribuzione.

Le autorizzazioni determinano le azioni che un utente può eseguire, ad esempio amministrare un'area di lavoro o creare un progetto. Quando si crea un progetto in Team Foundation Server, vengono creati quattro gruppi predefiniti per il progetto indipendentemente dal modello di processo scelto. Per impostazione predefinita, ciascuno di questi gruppi dispone di un set di autorizzazioni che determinano e controllano ciò che i membri dei gruppi sono autorizzati a eseguire.

• Project Administrators

• Contributors

• Readers

• Builders

Oltre ai gruppi predefiniti creati per ciascun progetto team, quando si crea un insieme di progetti team, vengono creati sette gruppi predefiniti per tale insieme, indipendentemente dal modello di processo scelto. Ognuno di questi gruppi dispone anche di un relativo set di autorizzazioni definito.

• Project Collection Administrators

• Project Collection Service Accounts

• Project Collection Build Administrators

• Project Collection Build Service Accounts

• Project Collection Valid Users

• Account del servizio dei proxy dell'insieme

• Project Collection Test Service Accounts

I cinque gruppi predefiniti vengono creati a livello di server quando si installa Team Foundation Server. Ognuno di questi gruppi dispone di un relativo set di autorizzazioni definito.

• Team Foundation Administrators

• Service Accounts di Team Foundation

• Valid Users di Team Foundation

• SharePoint Web Application Services

• Work Item Only View Users

Per gestire in modo efficiente l'appartenenza degli utenti in questi gruppi predefiniti e per creare gruppi personalizzati, gli amministratori devono capire innanzitutto il significato delle autorizzazioni e le implicazioni di sicurezza dell'impostazione esplicita delle autorizzazioni.

Impostazioni delle autorizzazioni

È possibile specificare due impostazioni di autorizzazioni esplicite in Team Foundation Server, ovvero Nega e Consenti. È inoltre disponibile un'autorizzazione implicita che non comporta l'impostazione dell'autorizzazione né su Consenti né su Nega. Questa autorizzazione è un'impostazione di negazione implicita denominata non impostata.

Deny

Questa impostazione nega all'utente o al gruppo l'autorizzazione a eseguire le azioni elencate nella descrizione dell'autorizzazione. La negazione è l'impostazione di autorizzazione più potente in Team Foundation Server. Se un utente appartiene a un gruppo Team Foundation Server con un'autorizzazione specifica impostata su Nega, non può eseguire la funzione, anche se appartiene a un altro gruppo con tale autorizzazione impostata su Consenti. L'unica eccezione a questa regola si verifica se l'utente è un membro del gruppo Project Administrators per un progetto, del gruppo Project Collection Administrators per un insieme di progetti team o del gruppo Team Foundation Administrators. Se un utente è un membro del gruppo Project Administrators per un progetto, le autorizzazioni di tale gruppo hanno la precedenza sull'impostazione Nega esplicita per tale utente in un progetto. Analogamente, se un utente è un membro del gruppo Project Collection Administrators, le autorizzazioni di tale gruppo hanno la precedenza sull'impostazione Nega esplicita per tale utente in quell'insieme. Se un utente è un membro del gruppo Administrators di Team Foundation, le autorizzazioni di tale gruppo hanno la precedenza sull'impostazione Nega esplicita per tale utente in Team Foundation Server.

Allow

Questa impostazione concede all'utente o al gruppo l'autorizzazione a eseguire le azioni elencate nella descrizione dell'autorizzazione. Consenti è la seconda impostazione di autorizzazione più potente in Team Foundation Server e viene impostata con maggiore frequenza. Se non si imposta in modo esplicito un'autorizzazione su Consenti, un utente o un gruppo non potrà eseguire l'azione corrispondente in Team Foundation Server.

Non impostata

Per impostazione predefinita, la maggior parte delle autorizzazioni in Team Foundation Server non è impostata né su Nega né su Consenti, ma viene lasciata non impostata, il che significa che implicitamente sia agli utenti che ai gruppi viene negata l'autorizzazione a eseguire le azioni specificate nella descrizione dell'autorizzazione. Tuttavia, poiché l'autorizzazione non viene esplicitamente impostata su Nega né su Consenti, può essere ereditata da altri gruppi a cui appartiene l'utente o il gruppo.

Ereditarietà

Quando l'autorizzazione non è impostata per un utente o un gruppo, quest'ultimo può risentire dell'impostazione esplicita dell'autorizzazione per i gruppi a cui appartiene in quanto le autorizzazioni all'interno di Team Foundation Server vengono ereditate. Ad esempio, un utente potrebbe appartenere a due gruppi personalizzati in un progetto. Se uno di tali gruppi dispone di un'autorizzazione che viene impostata in modo esplicito su Nega e l'altro gruppo dispone della stessa autorizzazione non impostata, l'utente non disporrà delle autorizzazioni per eseguire le azioni controllate da quell'autorizzazione. Egli eredita le autorizzazioni da entrambi i gruppi e l'autorizzazione Nega ha la precedenza sull'autorizzazione non impostata.

Alcune impostazioni di autorizzazione hanno la precedenza su altre. In Team Foundation Server l'impostazione di autorizzazione Nega è prioritaria rispetto a tutte le altre impostazioni di autorizzazione, compresa Consenti, per tale struttura esplicita. L'autorizzazione Nega non ha la precedenza se ereditata da un oggetto padre gerarchico, ad esempio nel controllo della versione. Ad esempio, un utente potrebbe appartenere a due gruppi in un progetto. Per un gruppo l'autorizzazione Pubblica risultati test è impostata su Nega, mentre per l'altro gruppo è impostata su Consenti. L'impostazione Nega è prioritaria e l'utente non è quindi autorizzato a pubblicare i risultati del test. Le uniche eccezioni a questa regola si verificano quando l'impostazione esplicita Nega viene ereditata da un oggetto padre gerarchico o quando l'utente è un membro di uno dei seguenti gruppi:

• Project Administrators

• Project Collection Administrators

• Team Foundation Administrators

Nelle strutture gerarchiche, ad esempio controllo della versione e gestione elementi di lavoro, le autorizzazioni esplicite che vengono impostate su un particolare oggetto ignorano quelle ereditate dagli oggetti padre.

Autorizzazioni impostate mediante l'interfaccia utente di Team Foundation Server e dalla riga di comando

Molte delle autorizzazioni che possono essere impostate per Team Foundation Server sono controllate mediante l'interfaccia utente di Team Foundation Server. È possibile impostare queste autorizzazioni in base a un server (autorizzazioni a livello di server), a un insieme (autorizzazioni a livello di insieme) o a un progetto (autorizzazioni a livello di progetto). È inoltre possibile impostare le autorizzazioni a livello di area e a livello di iterazione per la visualizzazione e l'interazione con gli elementi di lavoro in base al progetto. Per ulteriori informazioni su come impostare le autorizzazioni per utenti e gruppi, vedere Configurazione di utenti, gruppi e autorizzazioni e Gestione delle autorizzazioni.

Autorizzazioni a livello di server

Le autorizzazioni a livello di server non sono specifiche di un singolo progetto team o insieme di progetti team. Vengono impostate a livello di distribuzione e concedono autorizzazioni che possono influire su ogni progetto e insieme nella distribuzione.

Queste autorizzazioni possono essere impostate solo per due categorie di utenti:

• Utenti e gruppi a livello di server, ad esempio Team Foundation Administrators

• Gruppi personalizzati creati e aggiunti a livello di server

È possibile impostare queste autorizzazioni aprendo la console di amministrazione di Team Foundation. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity. Per ulteriori informazioni, vedere Configurazione del server tramite la console di amministrazione di Team Foundation e Modifica di gruppi e autorizzazioni con TFSSecurity.

Nella tabella seguente viene elencata ciascuna autorizzazione a livello di server e viene fornita una breve descrizione della finalità.

Nome autorizzazione	Nome nella riga di comando	Descrizione
Crea insieme di progetti team	CreateCollection	Consente di creare e amministrare insiemi di progetti team in Team Foundation Server.
Elimina insieme di progetti team	DeleteCollection	Consente di eliminare un insieme di progetti team dalla distribuzione. Nota L'eliminazione di un insieme di progetti team non comporterà l'eliminazione del database dell'insieme da SQL Server.
Modifica informazioni a livello di istanza	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Consente di modificare le autorizzazioni a livello di server per utenti e gruppi in Team Foundation Server. Gli utenti possono aggiungere o rimuovere gruppi di applicazioni a livello di server dall'insieme. Se impostata tramite i menu, l'autorizzazione Modifica informazioni a livello di istanza consente anche implicitamente all'utente di modificare le autorizzazioni del controllo della versione. Per concedere tutte le autorizzazioni dal prompt dei comandi, è necessario utilizzare il comando tf.exe Permission per concedere le autorizzazioni AdminConfiguration e AdminConnections, oltre a GENERIC_WRITE. Nota   I gruppi predefiniti a livello di server, ad esempio Team Foundation Administrators, non possono essere rimossi.
Effettua richieste per conto di altri	Rappresenta	Consente di eseguire operazioni per conto di altri utenti o servizi. Questa autorizzazione deve essere assegnata solo ad account del servizio.
Genera eventi	TRIGGER_EVENT	Consente di generare eventi di avviso in Team Foundation Server. Questa autorizzazione deve essere assegnata solo agli account del servizio e ai membri del gruppo Team Foundation Administrators.
Utilizza funzionalità accesso Web completo	FullAccess	Consente di utilizzare tutte le funzionalità di Team Web Access.
Visualizza informazioni a livello di istanza	GENERIC_READ	Consente di visualizzare l'appartenenza a un gruppo a livello di server e le autorizzazioni degli utenti.

Autorizzazioni a livello di insieme

Le autorizzazioni a livello di insieme non sono specifiche di un singolo progetto, bensì vengono impostate a livello di insieme. È possibile impostare queste autorizzazioni solo per tre categorie di utenti:

• Utenti e gruppi a livello di server, ad esempio Project Collection Administrators

• Gruppi a livello di progetto aggiunti a livello di insieme nel server in cui è in esecuzione Team Foundation

• Gruppi personalizzati creati e aggiunti a livello di insieme

Queste autorizzazioni possono essere impostate facendo clic con il pulsante destro del mouse sul server in Team Explorer quindi facendo clic su Sicurezza oppure possono essere impostate nella console di amministrazione di Team Foundation. È possibile impostare queste autorizzazioni anche mediante lo strumento da riga di comando TFSSecurity, eccetto gli strumenti da riga di comando contrassegnati con tf:. Per impostare le autorizzazioni per questi ultimi, è necessario utilizzare il comando Permission dell'utilità della riga di comando tf relativa al controllo della versione. Per ulteriori informazioni, vedere Gruppi a livello di insieme, Modifica di gruppi e autorizzazioni con TFSSecurity e Comando Permission.

Nome autorizzazione	Nome nella riga di comando	Descrizione
Amministra modifiche sospese	tf: AdminShelvesets	Consente di eliminare insiemi di sospensione creati da altri utenti.
Amministra warehouse	ADMINISTER_WAREHOUSE	Consente di modificare le impostazioni del data warehouse mediante il metodo Web ChangeSetting del servizio Web WarehouseController.asmx. Ad esempio, è possibile consentire agli utenti di impostare l'intervallo di aggiornamento per il calcolo dei cubi OLAP.
Amministra aree di lavoro	tf: AdminWorkspaces	Consente di creare aree di lavoro per altri utenti ed eliminare aree di lavoro create da altri utenti.
Modifica impostazioni di traccia	DIAGNOSTIC_TRACE	Consente di modificare le impostazioni di traccia per la raccolta di informazioni di diagnostica più dettagliate sui servizi Web di Team Foundation Server.
Crea area di lavoro	tf: CreateWorkspace	Consente di creare un'area di lavoro per il controllo della versione.
Crea nuovi progetti	CREATE_PROJECTS	Consente di creare progetti nell'insieme di progetti team. Nota È necessario non solo avere questa autorizzazione, ma anche eseguire Visual Studio come amministratore per completare correttamente la procedura di creazione guidata di un nuovo progetto team.Per ulteriori informazioni, vedere Creare un progetto Team.
Elimina progetti team	Delete	Consente di eliminare progetti team nel relativo insieme. Importante L'eliminazione di un progetto team comporterà l'eliminazione di tutti i dati associati al progetto.Non è possibile annullare l'eliminazione di un progetto team se non ripristinando l'insieme in un punto prima che il progetto venga eliminato.
Elimina insieme di progetti team	DeleteCollection	Consente di rimuovere un insieme di progetti team.
Modifica informazioni a livello di insieme	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Consente di modificare le autorizzazioni a livello di insieme per utenti e gruppi nell'insieme di progetti team. Gli utenti possono aggiungere o rimuovere gruppi di applicazioni Team Foundation Server a livello di server dall'insieme. Se impostata tramite i menu, l'autorizzazione Modifica informazioni a livello di insieme consente anche implicitamente all'utente di modificare le autorizzazioni del controllo della versione. Per concedere tutte le autorizzazioni dal prompt dei comandi, è necessario utilizzare il comando tf.exe Permission per concedere le autorizzazioni AdminConfiguration e AdminConnections, oltre a GENERIC_WRITE. Nota I gruppi a livello di insieme predefiniti, ad esempio Project Collection Administrators, non possono essere rimossi.
Effettua richieste per conto di altri	Rappresenta	Consente di eseguire operazioni per conto di altri utenti o servizi. Questa autorizzazione deve essere assegnata solo ad account del servizio.
Gestisci risorse di compilazione	ManageBuildResources	Consente di gestire computer, agenti e controller di compilazione per l'insieme di progetti team. Questi utenti possono anche concedere o negare le autorizzazioni Visualizza risorse di compilazione e Usa risorse di compilazione ad altri utenti.
Gestisci modello di processo	MANAGE_TEMPLATE	Consente di scaricare, creare, modificare e caricare modelli di processo nell'insieme di progetti team.
Gestisci controller test	MANAGE_TEST_CONTROLLERS	Consente di registrare e annullare la registrazione dei controller di test per l'insieme di progetti team.
Gestisci tipi di collegamento elemento di lavoro	WORK_ITEM_WRITE	Consente di aggiungere, rimuovere e modificare i tipi di collegamenti per gli elementi di lavoro.
Genera eventi	TRIGGER_EVENT	Consente di generare eventi di avvisi di progetto all'interno dell'insieme di progetti team. Questa autorizzazione deve essere assegnata solo ad account del servizio.
Usa risorse di compilazione	UseBuildResources	Consente di riservare e allocare agenti di compilazione. Questa autorizzazione deve essere assegnata solo ad account del servizio per i servizi di compilazione.
Visualizza risorse di compilazione	ViewBuildResources	Consente di visualizzare controller e agenti di compilazione configurati per l'insieme. Per utilizzare tali risorse, sono necessarie autorizzazioni aggiuntive.
Visualizza informazioni a livello di insieme	GENERIC_READ	Consente di visualizzare l'appartenenza a un gruppo a livello di insieme e le autorizzazioni di tali utenti.
Visualizza informazioni sulla sincronizzazione del sistema	SYNCHRONIZE_READ	Consente di chiamare le API (Application Programming Interface) di sincronizzazione. Questa autorizzazione deve essere assegnata solo ad account del servizio.
Visualizza esecuzioni dei test	VIEW_TEST_RESULTS	Consente di visualizzare piani di test in questo nodo.

Autorizzazioni a livello di progetto

Le autorizzazioni a livello di progetto sono proprie di utenti e gruppi di un singolo progetto. Per impostare queste autorizzazioni in Team Foundation Server, fare clic con il pulsante destro del mouse sul progetto in Team Explorer, quindi scegliere Impostazioni progetto Team, Sicurezza. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity.

Autorizzazioni a livello di compilazione

Le autorizzazioni a livello di compilazione sono proprie di utenti e gruppi di un singolo progetto. È possibile impostare autorizzazioni di compilazione a livello di progetto team nonché di impostare autorizzazioni per definizioni di compilazione specifiche. Per impostare queste autorizzazioni, aprire il progetto in Team Explorer, fare clic con il pulsante destro del mouse su Compilazioni, quindi su Sicurezza. È possibile applicare autorizzazioni a una definizione di compilazione specifica facendo clic con il pulsante destro del mouse sulla definizione di compilazione, quindi su Sicurezza. Se si desidera applicare autorizzazioni a una cartella di compilazione, fare clic con il pulsante destro del mouse su quella cartella, quindi su Sicurezza. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity.

Autorizzazioni a livello di area per la gestione degli elementi di lavoro

Le autorizzazioni a livello di area sono proprie di utenti e gruppi di un singolo progetto. Per impostare queste autorizzazioni, fare clic con il pulsante destro del mouse sul progetto in Team Explorer, quindi scegliere Aree e iterazioni e fare clic su Sicurezza nella scheda Area. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity.

Autorizzazioni a livello di iterazione per la gestione degli elementi di lavoro

Le autorizzazioni a livello di iterazione sono proprie di utenti e gruppi di un singolo progetto. Per impostare queste autorizzazioni, fare clic con il pulsante destro del mouse sul progetto in Team Explorer, quindi scegliere Aree e iterazioni e fare clic su Sicurezza nella scheda Iterazioni. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity.

Autorizzazioni del controllo della versione

Le autorizzazioni del controllo della versione sono proprie dei file e delle cartelle del codice sorgente. Per impostare queste autorizzazioni, fare clic con il pulsante destro del mouse sulla cartella o sul file in Esplora controllo codice sorgente, fare clic su Proprietà, quindi sulla scheda Sicurezza. In tale scheda è possibile fare clic sull'utente o gruppo per il quale si desidera modificare le autorizzazioni e successivamente modificare quelle elencate in Autorizzazioni. È inoltre possibile impostare queste autorizzazioni utilizzando lo strumento da riga di comando tf per il controllo della versione.

Autorizzazioni di Lab Management

Le autorizzazioni di Visual Studio Lab Management sono specifiche per macchine virtuali, ambienti e altre risorse. Queste autorizzazioni possono essere impostate mediante lo strumento da riga di comando TFSLabConfig.

Vedere anche

Attività

Aprire la console di amministrazione di Team Foundation

Riferimenti

Comando Permission

Concetti

Configurazione di utenti, gruppi e autorizzazioni

Gruppi a livello di server

Configurazione di Lab Management con TFSLabConfig

Definizione dell'attività di test utilizzando piani di test

Altre risorse

Modifica di gruppi e autorizzazioni con TFSSecurity

Riferimenti alla riga di comando del controllo della versione di Team Foundation

Gestione delle autorizzazioni

Gruppi a livello di insieme

Gruppi a livello di progetto

Modifica di gruppi e autorizzazioni con TFSSecurity

Cronologia delle modifiche