Riferimento alle autorizzazioni per Team Foundation Server

Le autorizzazioni determinano le attività che gli utenti possono e non possono eseguire. Per consentire agli utenti di accedere alle risorse e ai progetti team di Team Foundation Server (TFS), è necessario aggiungerli a un progetto team o a un gruppo TFS. Per una panoramica della gestione dell'appartenenza, le autorizzazioni e l'accesso in TFS, vedere Gestire utenti o gruppi in TFS.

Questo argomento descrive le autorizzazioni TFS e le assegnazioni predefinite a ogni gruppo TFS incorporato, spiegando anche gli strumenti che è possibile usare per impostare le autorizzazioni. Sono disponibili tre categorie di gruppi predefiniti, quattro livelli di autorizzazioni e cinque stati di autorizzazione. L'accesso di ogni utente a un'attività funzionale dipende dallo stato di autorizzazione esplicito o ereditato assegnato all'utente o al gruppo a cui appartiene.

Contenuto dell'argomento Novità relative alle autorizzazioni Strumenti usati per impostare le autorizzazioni Gruppi TFS predefiniti Gruppi a livello di server Gruppi a livello di raccolta Gruppi a livello di progetto Consenti, Nega, Non impostato e altri stati di autorizzazione Ereditarietà Cose da fare e da evitare durante l'impostazione di autorizzazioni Autorizzazioni a livello di server Autorizzazioni a livello di raccolta Autorizzazioni a livello di progetto, test e oggetto Autorizzazioni a livello di progetto e di test Autorizzazioni a livello di compilazione Query elemento di lavoro Assegnazione di tag A livello di area per la gestione degli elementi di lavoro A livello di iterazione per la gestione degli elementi di lavoro Controllo della versione di Team Foundation Repository Git Lab Management Release Management

Per assegnare autorizzazioni per Prodotti SharePoint o SQL Server Reporting Services, vedere Aggiungere utenti ai progetti team e Concedere autorizzazioni per visualizzare o creare report in TFS.

Novità relative alle autorizzazioni

Nella tabella seguente sono indicate le aggiunte e le modifiche apportate al modello di autorizzazioni per TFS, in base alla versione installata nel server di livello applicazione.

Strumenti usati per impostare le autorizzazioni

Per impostare le autorizzazioni è possibile usare gli strumenti elencati nella tabella seguente. Gli strumenti da usare cambiano a seconda che si impostino le autorizzazioni a livello di server, raccolta o progetto. Team Web Access viene usato per impostare la maggior parte delle autorizzazioni di accesso a un progetto team per utenti e gruppi.

Note

1. Alcune opzioni di autorizzazioni a cui si accede da Team Explorer aprono un'interfaccia utente in Team Web Access.

2. Se si aggiunge Release Management alla distribuzione, è possibile gestire le autorizzazioni usando gruppi che vengono definiti in Release Management, in TFS o in Active Directory. Le autorizzazioni vengono gestite tramite Release Management Client.

Un altro strumento che è possibile usare per gestire l'appartenenza degli utenti ai gruppi è lo strumento TFSAdmin di CodePlex.

Strumenti da riga di comando, spazi dei nomi e nomi di autorizzazioni

Quando si usa lo strumento da riga di comando TFSSecurity per gestire le autorizzazioni, occorre specificare uno spazio dei nomi e il nome dell'autorizzazione. Nelle sezioni seguenti sono indicati lo spazio dei nomi e il nome del comando. Gli spazi dei nomi sono suddivisi in due gruppi: raccolta di progetti e server. Usare il comando TFSSecurity /a per elencare gli spazi dei nomi. Per ottenere il set di autorizzazioni che possono essere impostate in uno spazio dei nomi, usare TFSSecurity /a Namespace /collection:CollectionNameURL

Build
BuildAdministration
Chat
Collection
CSS
Discussion Threads
EventSubscription
Git Repositories
Identity
Iteration
Job
Project
ProjectServerAdministration
Registry
Server
ServiceHooks
StrongBox
Tagging
TeamLabSecurity
VersionControlItems
VersionControlPrivileges
WorkItemQueryFolders
WorkItemTrackingAdministration
WorkItemTrackingProvision
Workspaces

Catalog
CollectionManagement
Diagnostic
EventSubscription
Feature Availability
HostingAccount
Identity
Job
Lab
Registry
Server
StrongBox
Warehouse
WebAccess

Gruppi TFS predefiniti

Quando si installa TFS, vengono definiti quattro gruppi a livello di server. Quando si crea una raccolta di progetti, vengono creati sette gruppi a livello di raccolta, mentre per ogni progetto team creato vengono creati sei gruppi nell'ambito del progetto team. Ciascuno di questi gruppi è associato a un set di autorizzazioni predefinite. Non è possibile rimuovere o eliminare gruppi predefiniti a livello di server, ad esempio il gruppo Team Foundation Administrators.

Note:

1. Per altre informazioni sui gruppi di utenti validi, passare alla sezione Che cos'è un utente valido? Come vengono popolati i gruppi di utenti validi?.

2. Un gruppo team viene creato con il nome del progetto team. Ad esempio, se si crea un progetto team denominato "Esempio di codice", verrà creato anche un gruppo team con il nome"Team Esempio di codice". Il team può essere poi rinominato.

   Inoltre, quando si creano altri team, viene creato un gruppo per ogni team.

Ai gruppi a livello di server vengono assegnate autorizzazioni a livello di server. Ai gruppi a livello di raccolta vengono assegnate autorizzazioni definite per la raccolta, il progetto e gli oggetti. Infine, le autorizzazioni assegnate ai gruppi a livello di progetto includono sia il livello di progetto che il livello di oggetto.

L'immagine seguente mostra ad esempio le autorizzazioni assegnate al gruppo Contributors a livello di progetto.

Le autorizzazioni del gruppo Project Administrators includono quelle assegnate al gruppo Contributors e alcune altre.

Gruppi a livello di server

Per impostazione predefinita, i gruppi seguenti esistono a livello di server per il livello applicazione quando si installa TFS.

Gruppi a livello di raccolta

Per impostazione predefinita, i gruppi seguenti esistono a livello di raccolta quando si configura una raccolta.

Gruppi a livello di progetto

Per impostazione predefinita, i gruppi seguenti esistono quando si crea un progetto team. Le loro autorizzazioni sono limitate all'ambito del livello di progetto.

Oltre a questi gruppi a livello di progetto, in tutti i progetti di TFS sono presenti anche due gruppi a livello di raccolta:

• NomeRaccoltaProgettiTeam**\Project Collection Administrators**

  Non è possibile modificare le autorizzazioni per questo gruppo a livello di raccolta.

• NomeRaccoltaProgettiTeam**\Project Collection Build Service Accounts**

  Non rimuovere l'autorizzazione Visualizza informazioni a livello di progetto per questo gruppo, né impostarla su Nega.

Consenti, Nega, Non impostato e altri stati di autorizzazione

TFS usa un modello di autorizzazioni minime per le autorizzazioni di sicurezza. Questo significa che se un utente appartiene a due gruppi e un'autorizzazione viene impostata su Consenti per un gruppo e su Nega per un altro gruppo, Nega ha la precedenza su Consenti. Esistono alcune eccezioni a questa regola, che si applicano agli utenti che appartengono ai gruppi Project Collection Administrators e Team Foundation Server Administrators.

È possibile specificare due stati di autorizzazione espliciti per le autorizzazioni, vale a dire Nega e Consenti. Esistono inoltre tre altri stati: Consenti ereditato, Rifiuta ereditato e Non impostato. Non impostato è uno stato Nega implicito.

Gli stati di autorizzazione seguono queste impostazioni di precedenza:

• L'autorizzazione Nega ha la precedenza su tutte le altre impostazioni di autorizzazione, inclusa Consenti. Ad esempio, un utente potrebbe appartenere a due gruppi in un progetto. Per un gruppo l'autorizzazione Pubblica risultati test è impostata su Nega, mentre per l'altro gruppo è impostata su Consenti. L'impostazione Nega è prioritaria e l'utente non è quindi autorizzato a pubblicare i risultati del test.

  Le eccezioni a questa regola sono:

  • L'autorizzazione Nega non ha la precedenza se è ereditata da un oggetto padre gerarchico. Queste funzioni supportano l'impostazione di autorizzazioni gerarchiche.

    • Cartelle di controllo del codice sorgente per il controllo della versione di Team Foundation

    • Repository Git

    • Nodi di area e di iterazione per la verifica degli elementi di lavoro

    • Query e cartelle di query condivise degli elementi di lavoro

    Le autorizzazioni esplicite impostate su un oggetto specifico, ad esempio una cartella del controllo del codice sorgente, un repository o un nodo figlio di area, hanno la precedenza su quelle ereditate dagli oggetti padre. Ad esempio, l'autorizzazione Nega impostata per una cartella di controllo del codice sorgente non esegue l'override di un'autorizzazione Consenti impostata per una delle sottocartelle.

  • Quando un utente appartiene a un gruppi di amministratori, ad esempio il gruppo Project Collection Administrators o Team Foundation Administrators, a meno che non sia diversamente stabilito nella descrizione dell'autorizzazione.

• Consenti ereditato ha la precedenza su Non impostato.

Ereditarietà

Quando l'autorizzazione è Non impostato per un utente o un gruppo, su tale utente o gruppo può avere impatto lo stato esplicito dell'autorizzazione per i gruppi a cui appartiene in quanto le autorizzazioni all'interno di TFS vengono ereditate. Ad esempio, quando si esaminano le autorizzazioni per un utente o un gruppo, è possibile che risultino presenti entrambe le impostazioni Consenti e Consenti ereditato. L'ultima autorizzazione viene ereditata da un altro gruppo a cui appartiene l'utente o il gruppo. In questo esempio, un utente potrebbe appartenere a un gruppo a livello di progetto e a un gruppo a livello di raccolta in un progetto. Se un'autorizzazione è impostata in modo esplicito su Consenti per uno di questi gruppi, ma è Non impostato per l'altro gruppo, l'utente disporrà dell'autorizzazione Consenti ereditato per eseguire le azioni controllate da tale autorizzazione. L'utente eredita le autorizzazioni da entrambi i gruppi e l'autorizzazione Consenti ha la precedenza sull'autorizzazione Non impostato.

Per capire il motivo per cui un'autorizzazione viene ereditata, è possibile soffermare il mouse sull'impostazione dell'autorizzazione e scegliere Perché?. Verrà aperta una nuova finestra, nella quale saranno visualizzate le informazioni sull'ereditarietà relative all'autorizzazione in questione.

Alcune finestre di dialogo relative alla sicurezza a livello di oggetto contengono un'opzione per l'attivazione e la disattivazione dell'ereditarietà. Usare questa opzione per disabilitare l'ereditarietà per cartelle, query condivise e altri oggetti.

Cose da fare e da evitare durante l'assegnazione di autorizzazioni

Da fare:

• Usare i gruppi di Windows quando gli utenti da gestire sono molto numerosi.

• Considerare l'opportunità di concedere le autorizzazioni Collaborazione agli utenti o ai gruppi per cui è necessario creare e condividere query elemento di lavoro per il progetto.

• Se si devono aggiungere molti team, creare un gruppo Team Administrators in TFS a cui assegnare un sottoinsieme delle autorizzazioni disponibili per gli amministratori di progetto.

• Durante l'aggiunta di team, considerare le autorizzazioni da assegnare a responsabili del team, scrum master e altri membri del team che possono avere la necessità di creare e modificare percorsi area, percorsi e iterazione e query.

Da evitare:

• Non aggiungere account al gruppo Readers aggiunto al gruppo Project Administrators. Questa aggiunta causerebbe infatti l'assegnazione dello stato Nega a diverse autorizzazioni.

• Non modificare le assegnazioni predefinite per un gruppo Valid Users. Se l'autorizzazione Visualizza informazioni a livello di istanza per uno dei gruppi Valid Users viene rimossa o impostata su Nega, gli utenti del gruppo non saranno in grado di accedere al progetto team, alla raccolta o alla distribuzione, a seconda del gruppo impostato.

• Non assegnare ad account utente autorizzazioni che sono destinate solo agli account del servizio.

Autorizzazioni a livello di server

Le autorizzazioni a livello di server concedono autorizzazioni che possono influire su ogni progetto e raccolta nella distribuzione. Queste autorizzazioni possono essere impostate tramite la console di amministrazione di Team Foundation o lo strumento da riga di comando TFSSecurity.

È possibile impostare queste autorizzazioni per utenti e gruppi a livello di server, come il gruppo Team Foundation Administrators, e per i gruppi personalizzati a livello di server aggiunti.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	SharePoint Web Application Services	Team Foundation Administrators	Team Foundation Service Accounts
Amministra warehouse (nota 1)	Amministrazione	Warehouse	Permette di elaborare o modificare le impostazioni del data warehouse o del cubo di SQL Server Analysis Services mediante il servizio Web di controllo warehouse.
Crea insieme di progetti team	CreateCollection	CollectionManagement	Consente di creare e amministrare raccolte di progetti team.
Elimina insieme di progetti team (Nota 2)	DeleteCollection	CollectionManagement	Consente di eliminare un insieme di progetti team dalla distribuzione.
Modifica informazioni a livello di istanza (nota 3)	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Server	Consente di modificare le autorizzazioni a livello di server per utenti e gruppi TFS, oltre ad aggiungere o rimuovere gruppi a livello di server dalla raccolta.
Effettua richieste per conto di altri	Impersonate	Server	Consente di eseguire operazioni per conto di altri utenti o servizi. Assegnare solo agli account del servizio.
Genera eventi	TRIGGER_EVENT	Server	Consente di attivare eventi di avviso di TFS. Assegnare solo agli account del servizio e ai membri del gruppo Team Foundation Administrators.
Utilizza funzionalità accesso Web completo (nota 4)	FullAccess	Server	Consente di usare tutte le funzionalità di Team Web Access.
Visualizza informazioni a livello di istanza (nota 5)	GENERIC_READ	Server	Consente di visualizzare l'appartenenza a un gruppo a livello di server e le autorizzazioni dei relativi utenti.

Note:

1. Per elaborare completamente o ricompilare il data warehouse e il cubo di Analysis Services potrebbero essere necessarie ulteriori autorizzazioni.

2. L'eliminazione di un insieme di progetti team non comporterà l'eliminazione del database dell'insieme da SQL Server.

3. Modifica informazioni a livello di istanza include la possibilità di eseguire le attività seguenti per tutti i progetti team definiti in tutti gli insiemi di progetti definiti per l'istanza:

   • Aggiungere e amministrare team e tutte le funzionalità correlate ai team

   • Creare e modificare aree e iterazioni

   • Modificare i criteri di archiviazione

   • Modificare query di elementi di lavoro condivise

   • Modificare ACL di autorizzazioni a livello di progetto e a livello di insieme

   • Creare e modificare elenchi globali

   • Modificare le sottoscrizioni di eventi (posta elettronica o SOAP).

   Se impostata tramite i menu, l'autorizzazione Modifica informazioni a livello di istanza consente anche implicitamente all'utente di modificare le autorizzazioni del controllo della versione. Per concedere tutte le autorizzazioni dal prompt dei comandi, è necessario usare il comando tf.exe Permission per concedere le autorizzazioni AdminConfiguration e AdminConnections, oltre a GENERIC_WRITE.

4. Se l'autorizzazione Utilizza funzionalità accesso Web completo è impostata su Nega, l'utente visualizzerà solo le funzionalità consentite per il gruppo Limitato (vedere Modifica dei livelli di accesso). Tramite una negazione verrà eseguito l'override di qualsiasi consenso implicito, anche per gli account che sono membri dei gruppi di amministrazione, ad esempio Team Foundation Administrators.

5. L'autorizzazione Visualizza informazioni a livello di istanza è assegnata anche al gruppo Team Foundation Valid Users.

Autorizzazioni a livello di raccolta

Le autorizzazioni a livello di raccolta concedono autorizzazioni ad attività a livello di raccolta, che possono essere impostate per gli utenti e i gruppi seguenti:

• Utenti e gruppi a livello di raccolta, ad esempio Project Collection Administrators

• Gruppi a livello di progetto aggiunti a una raccolta

• Gruppi personalizzati aggiunti a una raccolta

È possibile impostare autorizzazioni a livello di raccolta dalla pagina di amministrazione di Team Web Access per la raccolta, dalla console di amministrazione di Team Foundation o usando lo strumento da riga di comando TFSSecurity o lo strumento da riga di comando tf. L’ambito di tutte le autorizzazioni è la raccolta specifica per cui sono impostate.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Project Collection Service Accounts	Project Collection Build Service Accounts	Project Collection Build Administrators	Project Collection Administrators (Nota 1)
Amministra autorizzazioni risorse di compilazione	AdministerBuildResourcePermissions	BuildAdministration	Consente di modificare le autorizzazioni per le risorse di compilazione.
Amministrazione dell'integrazione con Project Server	AdministerProjectServer	ProjectServerAdministration	Consente di configurare l'integrazione di Team Foundation Server con Project Server per consentire la sincronizzazione dei dati tra i due prodotti server.
Amministra modifiche sottoposte a shelving	AdminShelvesets tf: AdminShelvesets	VersionControlPrivileges	Consente di eliminare shelveset creati da altri utenti.
Amministra aree di lavoro	AdminWorkspaces tf: AdminWorkspaces	VersionControlPrivileges	Consente di creare aree di lavoro per altri utenti ed eliminare aree di lavoro create da altri utenti.
Modifica impostazioni di traccia	DIAGNOSTIC_TRACE	Raccolta	Consente di modificare le impostazioni di traccia per la raccolta di informazioni di diagnostica più dettagliate sui servizi Web di TFS.
Crea area di lavoro (nota 2)	tf: CreateWorkspace	VersionControlPrivileges	Consente di creare un'area di lavoro per il controllo della versione.
Crea nuovi progetti (nota 3)	CREATE_PROJECTS	Raccolta	Consente di creare progetti nell'insieme di progetti team.
Elimina progetti team (nota 4)	Delete	Project	Consente di eliminare progetti team.
Modifica informazioni a livello di raccolta (nota 5)	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Raccolta VersionControlPrivileges	Consente di aggiungere utenti e gruppi, oltre a modificare le autorizzazioni a livello di raccolta per utenti e gruppi.
Effettua richieste per conto di altri	Impersonate	Server	Consente di eseguire operazioni per conto di altri utenti o servizi. Assegnare solo agli account del servizio.
Gestisci risorse di compilazione	ManageBuildResources	BuildAdministration	Consente di gestire computer, agenti e controller di compilazione.
Gestisci modello di processo	MANAGE_TEMPLATE	Raccolta	Consente di scaricare, creare, modificare e caricare modelli di processo.
Gestisci controller test	MANAGE_TEST_CONTROLLERS	Raccolta	Consente di registrare e annullare la registrazione dei controller di test.
Genera eventi (nota 6)	TRIGGER_EVENT	Raccolta	Consente di generare eventi di avvisi di progetto all'interno della raccolta. Assegnare solo agli account del servizio.
Usa risorse di compilazione	UseBuildResources	BuildAdministration	Consente di riservare e allocare agenti di compilazione. Assegnare solo agli account del servizio per i servizi di compilazione.
Visualizza risorse di compilazione	ViewBuildResources	BuildAdministration	Consente di visualizzare, ma non di usare, i controller e gli agenti di compilazione configurati per la raccolta.
Visualizza informazioni a livello di raccolta	GENERIC_READ	Raccolta	Consente di visualizzare l'appartenenza e le autorizzazioni dei gruppi a livello di raccolta.
Visualizza informazioni sulla sincronizzazione del sistema	SYNCHRONIZE_READ	Raccolta	Consente di chiamare le API (Application Programming Interface) di sincronizzazione. Assegnare solo agli account del servizio.

Note:

1. Vengono inoltre effettuate le seguenti assegnazioni predefinite ai gruppi TFS indicati di seguito:

   • Gruppo Project Collection Valid Users: Crea area di lavoro, Visualizza risorse di compilazione e Visualizza informazioni a livello di raccolta.

   • Project Collection Proxy Service Accounts: Crea area di lavoro, Visualizza risorse di compilazione e Visualizza informazioni a livello di raccolta.

   • Project Collection Test Service Accounts: Crea area di lavoro, Gestisci controller di test, Visualizza risorse di compilazione e Visualizza informazioni a livello di raccolta.

2. L'autorizzazione Crea area di lavoro viene concessa a tutti gli utenti che appartengono al gruppo Project Collection Valid Users.

3. A seconda della distribuzione, potrebbero essere necessarie ulteriori autorizzazioni. È inoltre necessario eseguire Visual Studio o Team Explorer come amministratore per completare correttamente la procedura guidata Crea nuovo progetto team.

4. L'eliminazione di un progetto team comporterà l'eliminazione di tutti i dati associati al progetto. Non è possibile annullare l'eliminazione di un progetto team se non ripristinando la raccolta in un punto prima che il progetto venga eliminato.

5. Modifica informazioni a livello di raccolta include la possibilità di eseguire le attività seguenti per tutti i progetti team definiti in una raccolta:

   • Aggiungere e amministrare team e tutte le funzionalità correlate ai team

   • Creare e modificare aree e iterazioni

   • Modificare i criteri di archiviazione

   • Modificare query di elementi di lavoro condivise

   • Modificare ACL di autorizzazioni a livello di progetto e a livello di insieme

   • Creare e modificare elenchi globali

   • Modificare sottoscrizioni di eventi (posta elettronica o SOAP) su eventi a livello di progetto o di raccolta.

   Se si imposta Modifica informazioni a livello di raccolta su Consenti tramite Team Web Access, si permette agli utenti di aggiungere o rimuovere gruppi di Team Web Access a livello di raccolta e, implicitamente, di modificare le autorizzazioni di controllo della versione. Per concedere tutte le autorizzazioni dal prompt dei comandi, è necessario usare il comando tf.exe Permission per concedere le autorizzazioni AdminConfiguration e AdminConnections, oltre a GENERIC_WRITE.

6. Gli utenti che dispongono di questa autorizzazione non possono rimuovere i gruppi a livello di raccolta predefiniti, ad esempio Project Collection Administrators.

7. L'assegnazione di questa autorizzazione ad altri utenti potrebbe consentire attacchi di tipo Denial of Service.

Autorizzazioni a livello di progetto, test e oggetto

Le autorizzazioni a livello di progetto sono proprie di utenti e gruppi di un singolo progetto. Nell'ambito di un progetto è possibile impostare autorizzazioni sugli oggetti creati per il progetto stesso, come aree, iterazioni, cartelle del controllo del codice sorgente, query, cartelle query e definizioni di compilazione. È possibile impostare autorizzazioni a livello di progetto e di oggetto per gli utenti e i gruppi aggiunti a un progetto team o una raccolta.

Ai seguenti gruppi predefiniti a livello di progetto e di raccolta sono assegnate molte autorizzazioni predefinite:

• Gruppi a livello di progetto: Builders, Contributors, Project Administrators e Readers

• Gruppi a livello di raccolta: Project Collection Administrators, Project Collection Build Service Accounts, Project Collection Proxy Service Accounts e Project Collection Test Service Accounts

Autorizzazioni a livello di progetto e di test

È possibile impostare le autorizzazioni a livello di progetto dalla pagina di amministrazione di Team Web Access per il progetto o usando lo strumento da riga di comando TFSSecurity. Tutte le autorizzazioni a livello di progetto concedono autorizzazioni agli utenti per il progetto team specifico per cui sono impostate.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Build Administrators, Contributors e Teams	Project Administrators (nota 1)
Creare una definizione di tag	Create	Assegnazione di tag	Consente di aggiungere tag tramite un form elemento di lavoro.
Crea esecuzioni dei test	PUBLISH_TEST_RESULTS	Project	Consente di aggiungere e rimuovere i risultati dei test e aggiungere o modificare le esecuzioni dei test.
Elimina progetti team	DELETE	Project	Consente di eliminare il progetto team da TFS.
Elimina esecuzioni dei test	DELETE_TEST_RESULTS	Project	Consente di eliminare un test pianificato.
Modifica informazioni a livello di progetto (nota 2)	GENERIC_WRITE	Project	Consente di modificare le autorizzazioni a livello di server per utenti e gruppi.
Gestisci configurazioni di test	MANAGE_TEST_CONFIGURATIONS	Project	Consente di creare ed eliminare configurazioni di test.
Gestisci ambienti test	MANAGE_TEST_ENVIRONMENTS	Project	Gli utenti che dispongono di questa autorizzazione possono creare ed eliminare ambienti di test.
Visualizza informazioni a livello di progetto	GENERIC_READ	Project	Consente di visualizzare l'appartenenza e le autorizzazioni dei gruppi a livello di progetto.
Visualizza esecuzioni dei test	VIEW_TEST_RESULTS	Project	Consente di visualizzare i piani di test nel percorso dell'area del progetto team.

Note:

1. Vengono inoltre effettuate le seguenti assegnazioni predefinite ai gruppi TFS indicati di seguito:

   • Readers: Crea definizione tag, Visualizza informazioni a livello di progetto e Visualizza esecuzioni dei test.

   • Project Collection Administrators: stesse autorizzazioni del gruppo Project Administrators, eccetto Elimina esecuzioni dei test.

   • Project Collection Build Administrators: stesse autorizzazioni del gruppo Project Administrators, eccetto Elimina esecuzioni dei test.

   • Project Collection Build Service Accounts: Crea esecuzioni dei test, Gestione configurazioni di test, Gestisci ambienti di test, Visualizza informazioni a livello di progetto, Visualizza esecuzioni dei test.

   • Project Collection Test Service Accounts: Crea esecuzioni dei test, Gestione configurazioni di test, Gestisci ambienti di test, Visualizza informazioni a livello di progetto.

2. Modifica informazioni a livello di progetto include la possibilità di eseguire le attività seguenti per il progetto team:

   • Aggiungere e amministrare team e tutte le funzionalità correlate ai team

   • Creare e modificare aree e iterazioni

   • Modificare i criteri di archiviazione

   • Modificare query di elementi di lavoro condivise

   • Modificare ACL di autorizzazioni a livello di progetto

   • Creare e modificare elenchi globali

   • Modificare sottoscrizioni di eventi (posta elettronica o SOAP) su eventi a livello di progetto.

Autorizzazioni a livello di compilazione

Le autorizzazioni a livello di compilazione possono essere impostate per tutte le compilazioni o per una definizione di compilazione dal menu di scelta rapida della definizione di compilazione in Team Web Access o Team Explorer oppure tramite lo strumento da riga di comando TFSSecurity.

Nome autorizzazione (UI)	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Contributors	Build Definition Authors o Builders	Build Administrators	Project Administrators (nota 1)
Amministra autorizzazioni di compilazione	AdministerBuildPermissions	Compilazione	Consente di amministrare le autorizzazioni di compilazione per altri utenti.
Elimina definizione di compilazione	DeleteBuildDefinition	Compilazione	Consente di eliminare definizioni di compilazioni per questo progetto.
Elimina compilazioni	DeleteBuilds	Compilazione	Consente di eliminare una compilazione completata.
Rimuovi compilazioni	DestroyBuilds	Compilazione	Consente di eliminare in modo definitivo una compilazione completata.
Modifica definizione di compilazione (Nota 2)	EditBuildDefinition	Compilazione	Consente di creare e modificare definizioni di compilazioni per questo progetto.
Modifica qualità di compilazione	EditBuildQuality	Compilazione	Consente di aggiungere informazioni sulla qualità della compilazione mediante Team Explorer o Team Web Access.
Gestisci qualità di compilazione	ManageBuildQualities	Compilazione	Consente di aggiungere o rimuovere i valori di qualità di compilazione.
Gestisci coda di compilazione	ManageBuildQueue	Compilazione	Consente di annullare, riclassificare in ordine di priorità o posticipare le compilazioni in coda.
Override della convalida di archiviazione tramite compilazione (nota 3)	OverrideBuildCheckInValidation	Compilazione	Consente di eseguire il commit di un insieme di modifiche che influisce su una definizione di compilazione gestita senza attivare prima lo shelving e la compilazione delle relative modifiche da parte del sistema.
Compilazioni coda	QueueBuilds	Compilazione	Consente di inserire una compilazione in coda mediante l'interfaccia utente di Team Foundation Build o al prompt dei comandi. È inoltre possibile arrestare le compilazioni accodate.
Conservazione illimitata	RetainIndefinitely	Compilazione	Consente di contrassegnare una compilazione in modo che non venga eliminata automaticamente da eventuali criteri di conservazione applicabili.
Interrompi compilazioni	StopBuilds	Compilazione	Consente di arrestare una compilazione in corso, incluse le compilazioni accodate e avviate da un altro utente.
Aggiorna informazioni compilazione	UpdateBuildInformation	Compilazione	Consente di aggiungere nodi di informazioni di compilazione al sistema, nonché informazioni sulla qualità di una compilazione. Assegnare solo agli account del servizio.
Visualizza definizione di compilazione	ViewBuildDefinition	Compilazione	Consente di visualizzare le definizioni di compilazioni create per il progetto team.
Visualizza compilazioni	ViewBuilds	Compilazione	Consente di visualizzare le compilazioni in coda e completate per questo progetto team.

Note:

1. Vengono inoltre effettuate le seguenti assegnazioni predefinite ai gruppi predefiniti indicati di seguito:

   • Readers: Visualizza definizione di compilazione e Visualizza compilazioni.

   • Project Collection Administrators: tutte le autorizzazioni eccetto Aggiorna informazioni compilazione.

   • Project Collection Build Administrators: tutte le autorizzazioni eccetto Override della convalida di archiviazione tramite compilazione e Aggiorna informazioni compilazione.

   • Project Collection Build Service Accounts: Modifica qualità di compilazione, Gestisci coda di compilazione, Aggiorna informazioni compilazione, Override della convalida di archiviazione tramite compilazione, Compilazioni coda, Visualizza definizione di compilazione e Visualizza compilazioni.

   • Project Collection Test Service Accounts: Aggiorna informazioni compilazione, Visualizza definizione di compilazione e Visualizza compilazioni.

2. Per controllare le autorizzazioni per definizioni di compilazione specifiche, è possibile disattivare l'ereditarietà.

   Quando l'ereditarietà è attivata, la definizione di compilazione rispetta le autorizzazioni di compilazione definiti a livello di progetto per un gruppo o un utente. Ad esempio, per un gruppo di gestori di compilazione personalizzato sono state impostate autorizzazioni per l'accodamento manuale di una compilazione per il progetto Fabrikam. Qualsiasi definizione di compilazione con ereditarietà attivata per il progetto Fabrikam permetterebbe a un membro del gruppo di gestori di compilazione di accodare manualmente una compilazione.

   Se tuttavia si disattiva l'ereditarietà per il progetto Fabrikam, sarà possibile impostare autorizzazioni che permettono solo agli amministratori di progetto di accodare manualmente una compilazione per una definizione di compilazione specifica. Ciò permetterebbe quindi all'utente di impostare autorizzazioni in modo specifico per la definizione di compilazione.

3. L'autorizzazione Override della convalida di archiviazione tramite compilazione deve essere assegnata solo agli account del servizio per i servizi di compilazione e agli amministratori compilazione responsabili della qualità del codice. Per altre informazioni, vedere Archiviare modifiche in sospeso controllate da una compilazione di archiviazione gestita.

Autorizzazioni query elemento di lavoro

Le autorizzazioni query elemento di lavoro possono essere impostate mediante il menu di scelta rapida Query condivise da TWA o Team Explorer oppure mediante lo strumento da riga di comando TFSSecurity. L'ambito di tutte le autorizzazioni è la query o la cartella query specifica per cui sono impostate.

Considerare l'opportunità di concedere le autorizzazioni Collaborazione agli utenti o ai gruppi per cui è necessario creare e condividere query elemento di lavoro per il progetto. Per creare grafici di query, è necessario l'accesso avanzato.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Readers, Contributors, Build Administrators	Creator Owners, Project Administrators, Project Collection Administrators
Collaborazione	CONTRIBUTE	WorkItemQueryFolders	Consente di visualizzare e modificare la query o la cartella query.
Delete	DELETE	WorkItemQueryFolders	Consente di eliminare una query o una cartella query e il relativo contenuto.
Gestisci autorizzazioni	MANAGEPERMISSIONS		Consente di gestire le autorizzazioni per la query o la cartella query.
Lettura	READ	WorkItemQueryFolders	Consente di visualizzare e usare la query o le query in una cartella, ma non di modificare il contenuto della query o della cartella query.
	FullControl	WorkItemQueryFolders	Consente di visualizzare, modificare, eliminare e gestire le autorizzazioni per una query o una cartella query e il relativo contenuto.

Autorizzazioni per l'assegnazione di tag

I tag rappresentano un modo rapido per raggruppare o suddividere gli elementi di lavoro in categorie. Le autorizzazioni per l'assegnazione di tag sono disponibili con le distribuzioni locali di TFS con TFS 2013.2 o versioni successive installato. L'autorizzazione Crea definizione tag può essere impostata nella pagina Sicurezza dell'amministrazione di TWA. Per impostare tutte le altre autorizzazioni, usare lo strumento da riga di comando TFSSecurity.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Readers	Contributors	Project Administrators (nota 1)
Crea definizione tag (nota 2)	CREATE	Assegnazione di tag	Consente di creare nuovi tag e applicarli agli elementi di lavoro. Gli utenti senza questa autorizzazione possono solo effettuare la selezione dal set di tag esistente per il progetto team.
Elimina definizione tag (nota 3, 4)	DELETE	Assegnazione di tag	Consente di rimuovere un tag dall'elenco dei tag disponibili per il progetto.
Enumera definizioni tag (nota 4, 5)	ENUMERATE	Assegnazione di tag	Consente di visualizzare un elenco dei tag disponibili per l'elemento di lavoro all'interno del progetto team. Gli utenti senza questa autorizzazione non visualizzeranno alcun elenco di tag disponibili da cui scegliere nel form elemento di lavoro o nell'editor di query.
Aggiorna definizione tag (nota 4)	UPDATE	Assegnazione di tag	Consente di rinominare un tag mediante l'API REST.

Note:

1. Al gruppo Project Collection Service Accounts sono state assegnate in modo esplicito anche tutte le autorizzazioni relative ai tag.

2. Readers e Contributors ereditano l'autorizzazione Crea definizione tag, poiché è impostata in modo esplicito su Consenti per il gruppo Project Valid Users.

   Anche se l'autorizzazione Crea definizione tag appare nelle impostazioni di sicurezza a livello di progetto team, le autorizzazioni per l'assegnazione di tag sono in effetti autorizzazioni a livello di raccolta con ambito a livello di progetto quando vengono visualizzate nell'interfaccia utente. Per limitare le autorizzazioni per l'assegnazione di tag a un singolo progetto team quando si usa il comando TFSSecurity, è necessario fornire il GUID del progetto come parte della sintassi del comando. In caso contrario, la modifica verrà applicata all'intero insieme di progetti team. È importante ricordarlo quando si modificano o si impostano queste autorizzazioni.

3. Non esiste un supporto dell'interfaccia utente per l'eliminazione di un tag. Per eliminare un tag, rimuovere le assegnazioni associate al tag. TFS elimina automaticamente i tag non assegnati dopo 3 giorni di inutilizzo.

4. Questa autorizzazione non appare nell'interfaccia utente; può essere impostata solo tramite il comando TFSSecurity.

5. L'autorizzazione Visualizza informazioni a livello di progetto impostata su Consenti per Readers e Contributors permette implicitamente agli utenti di questi gruppi di visualizzare i tag esistenti (autorizzazione Enumera definizioni tag).

Autorizzazioni a livello di area per la gestione degli elementi di lavoro

Le autorizzazioni a livello di area concedono o limitano l'accesso agli elementi di lavoro definiti per un progetto in base alla relativa posizione nella gerarchia ad albero.

Le autorizzazioni a livello di area possono essere definite e impostate tramite la pagina di amministrazione di Team Web Access per le aree o lo strumento da riga di comando TFSSecurity. L'ambito di tutte le autorizzazioni è il percorso area specifico per cui sono impostate.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Contributors	Build Administrators	Project Collection Build Service Accounts (Nota 1)
Crea nodi figlio (nota 2)	CREATE_CHILDREN	CSS	Consente di creare nodi dell'area. Gli utenti che dispongono di entrambe queste autorizzazioni e dell'autorizzazione Modifica questo nodo possono spostare o riordinare qualsiasi nodo figlio dell'area.
Elimina questo nodo (nota 2)	DELETE	CSS	Gli utenti che dispongono sia di questa autorizzazione che dell'autorizzazione Modifica elementi di lavoro in questo nodo per un altro nodo possono eliminare nodi dell'area e possono riclassificare elementi di lavoro esistenti dal nodo eliminato. Se il nodo eliminato dispone di nodi figlio, vengono eliminati anche tali nodi.
Modifica questo nodo (nota 2)	GENERIC_WRITE	CSS	Consente di impostare le autorizzazioni per il nodo corrente e di rinominare i nodi dell'area.
Modifica elementi di lavoro in questo nodo (nota 3)	WORK_ITEM_WRITE	CSS	Consente di modificare gli elementi di lavoro nel nodo dell'area.
Gestisci piani di test (nota 4)	MANAGE_TEST_PLANS	CSS	Consente di modificare le proprietà del piano di test, ad esempio le impostazioni di compilazione e test.
Gestisci gruppi di test (nota 4)	MANAGE_TEST_SUITES	CSS	Consente di creare ed eliminare gruppi di test, aggiungere e rimuovere test case dai gruppi di test, modificare le configurazioni di test associate ai gruppi di test e modificare la gerarchia dei gruppi, ovvero spostare un gruppo di test.
Visualizza autorizzazioni per questo nodo	GENERIC_READ	CSS	Consente di visualizzare le impostazioni di sicurezza per il nodo.
Visualizza elementi di lavoro in questo nodo (nota 5)	WORK_ITEM_READ	CSS	Consente di visualizzare, ma non di modificare, elementi di lavoro nel nodo dell'area.

Note:

1. Vengono inoltre effettuate le seguenti assegnazioni predefinite ai gruppi predefiniti indicati di seguito:

   • Readers: Visualizza autorizzazioni per questo nodo e autorizzazioni di sola visualizzazione.

   • Project Collection Test Service Accounts: autorizzazioni di sola visualizzazione.

   • Team Foundation Administrators, Project Collection Administrators e Project Administrators: tutte le autorizzazioni CSS. Qualsiasi utente o gruppo con autorizzazioni di tipo Modifica informazioni a livello di istanza, Modifica informazioni a livello di raccolta o Modifica informazioni a livello di progetto può creare e gestire nodi di area.

   • I membri dei gruppi Project Collection Valid Users, Project Valid Users o qualsiasi utente o gruppo con autorizzazioni di tipo Visualizza informazioni a livello di raccolta o Visualizza informazioni a livello di progetto possono visualizzare le autorizzazioni di qualsiasi nodo di area.

2. È consigliabile aggiungere questa autorizzazione a tutti gli utenti o gruppi aggiunti manualmente che possono avere l'esigenza di eliminare, aggiungere o rinominare i nodi dell'area.

3. È consigliabile aggiungere questa autorizzazione a tutti gli utenti o gruppi aggiunti manualmente che possono avere l'esigenza di modificare elementi di lavoro nel nodo dell'area.

4. L'autorizzazione Gestisci gruppo di test è stata aggiunta con l'aggiornamento TFS 2013.3. È consigliabile aggiungere queste autorizzazioni a tutti gli utenti o gruppi aggiunti manualmente che possono avere l'esigenza di gestire piani di test o gruppi di test nel nodo dell'area.

5. Se l'autorizzazione Visualizza elementi di lavoro in questo nodo viene impostata su Nega, l'utente non potrà visualizzare elementi di lavoro nel nodo dell'area. Tramite una negazione verrà eseguito l'override di qualsiasi consenso implicito, anche per gli account che sono membri dei gruppi di amministrazione, ad esempio Team Foundation Administrators.

Autorizzazioni a livello di iterazione per la gestione degli elementi di lavoro

Le autorizzazioni a livello di iterazione concedono o limitano l'accesso alla creazione e alla gestione di percorsi di iterazione.

È possibile impostare le autorizzazioni a livello di iterazione per gli utenti e i gruppi aggiunti a un progetto team o a una raccolta usando la pagina di amministrazione di Team Web Access per le iterazioni o lo strumento da riga di comando TFSSecurity. L'ambito di tutte le autorizzazioni è il percorso di iterazione specifico per cui sono impostate.

Per alcune operazioni di Gestione elementi di lavoro sono necessarie più autorizzazioni, ad esempio in caso di eliminazione di un nodo.

Considerare l'opportunità di concedere le autorizzazioni per creare, modificare o eliminare nodi agli amministratori team, scrum master o responsabili team.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Project Administrators (nota 1)
Crea nodi figlio (nota 2)	CREATE_CHILDREN	Iterazione	Consente di creare nodi di iterazione. Gli utenti che dispongono di entrambe queste autorizzazioni e dell'autorizzazione Modifica questo nodo possono spostare o riordinare qualsiasi nodo figlio dell'iterazione.
Elimina questo nodo (nota 2)	DELETE	Iterazione	Gli utenti che dispongono sia di questa autorizzazione che dell'autorizzazione Modifica questo nodo per un altro nodo possono eliminare i nodi dell'iterazione e possono riclassificare gli elementi di lavoro esistenti dal nodo eliminato. Se il nodo eliminato dispone di nodi figlio, vengono eliminati anche tali nodi.
Modifica questo nodo (nota 2)	GENERIC_WRITE	Iterazione	Consente di impostare le autorizzazioni per il nodo corrente e di rinominare i nodi di iterazione.
Visualizza autorizzazioni per questo nodo (Nota 3)	GENERIC_READ	Iterazione	Consente di visualizzare le impostazioni di sicurezza per il nodo.

Note:

1. Ai gruppi Team Foundation Administrators e Project Collection Administrators sono concesse tutte le autorizzazioni di tipo Iterazione. Qualsiasi utente o gruppo con autorizzazioni di tipo Modifica informazioni a livello di istanza, Modifica informazioni a livello di raccolta o Modifica informazioni a livello di progetto può creare e gestire nodi di iterazione.

2. È consigliabile aggiungere questa autorizzazione a tutti gli utenti o gruppi aggiunti manualmente che possono avere l'esigenza di eliminare, aggiungere o rinominare i nodi dell'iterazione.

3. I membri dei gruppi Project Collection Valid Users, Project Valid Users o qualsiasi utente o gruppo con autorizzazioni di tipo Visualizza informazioni a livello di raccolta o Visualizza informazioni a livello di progetto possono visualizzare le autorizzazioni di qualsiasi nodo di iterazione.

Autorizzazioni per il controllo della versione di Team Foundation (TFVC)

Le autorizzazioni possono essere impostate nei file e cartelle del codice sorgente TFVC dal menu di scelta per la definizione di file o cartelle in TWA o Team Explorer oppure tramite lo strumento da riga di comando tf permission. Queste autorizzazioni vengono visualizzate solo per un progetto team configurato per l'uso di TFVC come sistema di controllo del codice sorgente.

Nelle autorizzazioni di controllo della versione, una negazione esplicita ha priorità rispetto alle autorizzazioni del gruppo Administrators.

Nome autorizzazione	Azione TFSSecurity e tf perm	Spazio dei nomi TFSSecurity	Descrizione	Contributors	Build Administrators	Project Collection Build Service Accounts	Project Administrators (nota 1)
Amministra etichette	tf: LabelOther	VersionControlItems	Consente di modificare o eliminare etichette create da un altro utente.
Archivia (nota 2)	tf: Checkin	VersionControlItems	Consente di archiviare elementi ed esaminare i commenti dell'insieme di modifiche salvato. Le modifiche in sospeso vengono salvate al momento dell'archiviazione.
Archivia modifiche di altri utenti	tf: CheckinOther	VersionControlItems	Consente di archiviare modifiche apportate da altri utenti. Le modifiche in sospeso vengono salvate al momento dell'archiviazione.
Estrai (nota 2)	tf: PendChange	VersionControlItems	Consente di estrarre e apportare una modifica in sospeso agli elementi di una cartella. Tra gli esempi di modifiche in sospeso sono incluse l'aggiunta, la modifica, la ridenominazione, l'eliminazione, l'annullamento dell'eliminazione, la creazione di rami e l'unione di un file. Le modifiche in sospeso devono essere archiviate, pertanto gli utenti dovranno anche disporre dell'autorizzazione Archivia per condividere le proprie modifiche con il team.
Etichetta	tf: Label	VersionControlItems	Consente di etichettare gli elementi.
Blocca	tf: Lock	VersionControlItems	Consente di bloccare e sbloccare cartelle o file.
Gestione branch	tf: ManageBranch	VersionControlItems	Consente di convertire una cartella nel percorso specificato in un branch. Gli utenti che dispongono di questa autorizzazione possono creare un branch di questo branch solo se dispongono anche dell'autorizzazione Unione per il percorso di destinazione, ma non per un branch per il quale non dispongono dell'autorizzazione Gestione branch.
Gestione autorizzazioni (nota 3)	tf: AdminProjectRights	VersionControlItems	Consente di gestire le autorizzazioni di altri utenti per cartelle e file nel controllo della versione.
Unione (nota 4)	tf: Merge	VersionControlItems	Consente di unire le modifiche nel percorso.
Lettura	tf: Read	VersionControlItems	Consente di leggere il contenuto di un file o di una cartella. Se un utente dispone delle autorizzazioni di lettura per una cartella, può visualizzare il contenuto della cartella e le proprietà dei file in essa contenuti, anche se non dispone dell'autorizzazione per aprire i file.
Esamina modifiche di altri utenti (nota 5)	tf: ReviseOther	VersionControlItems	Consente di modificare i commenti relativi ai file archiviati, anche se è stato un altro utente ad archiviare il file.
Annulla modifiche di altri utenti (nota 5)	tf: UndoOther	VersionControlItems	Consente di annullare una modifica in sospeso apportata da un altro utente.
Sblocca modifiche di altri utenti (nota 5)	tf: UnlockOther	VersionControlItems	Consente di sbloccare file bloccati da altri utenti.

Note:

1. Inoltre, tutte le autorizzazioni sono impostate su Consenti ereditato per Project Collection Administrators e Project Collection Service Accounts.

   Al gruppo Readers sono assegnate le autorizzazioni di sola visualizzazione (Lettura).

2. È consigliabile aggiungere queste autorizzazioni a tutti gli utenti o gruppi aggiunti manualmente che contribuiscono allo sviluppo del progetto, a qualsiasi utente che deve poter archiviare ed estrarre le modifiche, apportare una modifica in sospeso agli elementi in una cartella o esaminare i commenti dell'insieme di modifiche salvato.

3. È consigliabile aggiungere questa autorizzazione a qualsiasi utente o gruppo aggiunto manualmente che contribuisce allo sviluppo del progetto e che deve essere in grado di creare branch privati, a meno che il progetto non sia sottoposto a procedure di sviluppo più limitate.

4. È consigliabile aggiungere questa autorizzazione a qualsiasi utente o gruppo aggiunto manualmente che contribuisce allo sviluppo del progetto e che deve essere in grado di unire file di origine, a meno che il progetto non sia sottoposto a procedure di sviluppo più limitate.

5. È consigliabile aggiungere questa autorizzazione agli utenti o gruppi aggiunti manualmente, responsabili della supervisione o del monitoraggio del progetto e che possono o devono modificare i commenti sui file archiviati anche da altri utenti.

Autorizzazioni per il repository Git

È possibile impostare le autorizzazioni in un progetto, repository o branch Git dal menu di scelta rapida o dalla pagina di amministrazione di Team Web Access oppure usando lo strumento da riga di comando TFSSecurity. Queste autorizzazioni vengono visualizzate solo per un progetto team configurato per l'uso di Git come sistema di controllo del codice sorgente.

È possibile impostare tutte le autorizzazioni per un progetto o un repository. È possibile impostare le autorizzazioni Amministrazione, Collaborazione e Riscrivere ed eliminare la cronologia (force push) per un branch. I repository e i branch ereditano le autorizzazioni dalle assegnazioni effettuate a livello di progetto.

Per impostazione predefinita, i gruppi Readers a livello di progetto e di raccolta dispongono solo delle autorizzazioni di lettura.

Nome autorizzazione	Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Contributors	Build Administrators	Project Administrators (nota 1)
Amministrazione (nota 2)	Amministrazione	GitRepositories	Consente di rinominare il repository, aggiungere ulteriori repository, verificare il database e impostare le autorizzazioni per il branch. Inoltre, possono eliminare il repository se dispongono anche dell'autorizzazione di forzatura. A livello di branch, è possibile impostare le autorizzazioni per il branch ed eliminarlo.
Creazione branch	CreateBranch	GitRepositories	Consente di pubblicare i branch nel repository. La mancanza di questa autorizzazione non limita la creazione di branch nel repository locale da parte degli utenti; impedisce semplicemente a questi ultimi di pubblicare i branch locali nel server. Quando un utente crea un nuovo branch nel server, dispone per impostazione predefinita delle autorizzazioni Amministrazione, Collaborazione e di forzatura per il branch in questione.
Collaborazione	GenericContribute	GitRepositories	Consente di effettuare il push delle modifiche al repository. A livello di branch è possibile effettuare il push delle modifiche al branch.
Gestione note	ManageNote	GitRepositories	Consente di modificare ed effettuare il push delle note di Git al repository. Inoltre, consente agli utenti di rimuovere le note dagli elementi se dispongono dell'autorizzazione di forzatura. Per altre informazioni sulle note, vedere questo argomento.
Lettura	GenericRead	GitRepositories	Consente di clonare, recuperare, effettuare il pull ed esplorare il contenuto del repository, ma non di effettuare il push delle modifiche apportate al repository.
Riscrivere ed eliminare la cronologia (force push)	ForcePush	GitRepositories	Consente di imporre un aggiornamento, mediante il quale è possibile sovrascrivere o rimuovere i commit da qualsiasi utente. L'eliminazione dei commit comporta la modifica della cronologia. Senza questa autorizzazione, gli utenti non possono rimuovere le proprie modifiche. Riscrivere ed eliminare la cronologia è un'autorizzazione necessaria anche per l'eliminazione di un branch. Poiché Riscrivere ed eliminare la cronologia consente agli utenti di modificare la cronologia o rimuovere un commit dalla stessa, gli utenti che dispongono di questa autorizzazione possono eliminare una modifica e la relativa cronologia dal server. Inoltre, possono modificare la cronologia del commit del repository del server. A livello di branch è possibile riscrivere ed eliminare la cronologia del branch.
Creazione tag	CreateTag	GitRepositories	Consente di effettuare il push dei tag al repository, nonché di modificare o rimuovere i tag dagli elementi se gli utenti dispongono dell'autorizzazione di forzatura.

Note:

1. Tutte le autorizzazioni per i gruppi Project Collection Administrators e Project Collection Service Accounts sono impostate su Consenti ereditato.

   Ai gruppi Readers e Project Collection Build Service Accounts sono assegnate le autorizzazioni di sola visualizzazione (Lettura).

2. È consigliabile aggiungere queste autorizzazioni a tutti gli utenti o gruppi aggiunti manualmente che contribuiscono allo sviluppo del progetto.

Autorizzazioni per Lab Management

Le autorizzazioni di Visual Studio Lab Management sono specifiche per macchine virtuali, ambienti e altre risorse. Al creatore di un oggetto in Lab Management, inoltre, vengono concesse automaticamente tutte le autorizzazioni relative a tale oggetto. È possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSLabConfig permissions.

Per impostazione predefinita, i gruppi Readers a livello di progetto e di raccolta dispongono solo delle autorizzazioni di visualizzazione delle risorse lab (Lettura).

Nome autorizzazione	TFSLabConfig perm	Descrizione	Contributors (nota 1)	Project Administrators	Project Collection Build Service	Team Foundation Administrators, Project Collection Administrators
Elimina ambiente e macchina virtuale	Delete	Consente di eliminare ambienti e modelli. Viene verificata l'autorizzazione per l'oggetto in fase di eliminazione.
Elimina percorsi lab	DeleteLocation	Consente di eliminare i percorsi di risorse Lab Management che includono gruppi host della raccolta, condivisioni di libreria della raccolta, gruppi host del progetto e condivisioni di libreria del progetto. Per eliminare un percorso, è necessario disporre dell'autorizzazione Elimina percorsi lab per quel percorso.
Modifica ambiente e macchine virtuali	Modifica	Consente di modificare ambienti e modelli. Viene verificata l'autorizzazione per l'oggetto in fase di modifica.
Operazioni nell'ambiente	EnvironmentOps	Consente di avviare, arrestare, sospendere e gestire snapshot, oltre all'esecuzione di altre operazioni in un ambiente.
Importa macchina virtuale	Create	Consente di importare una macchina virtuale da una condivisione di libreria VMM. Questa autorizzazione differisce da quella di scrittura perché crea solo un oggetto in Lab Management e non scrive niente nel gruppo host Virtual Machine Manager o nella condivisione di libreria.
Gestisci autorizzazioni figlio	ManageChildPermissions	Consente di modificare le autorizzazioni di tutti gli oggetti Lab Management figlio. Se ad esempio un utente dispone dell'autorizzazione Gestisci autorizzazione figlio per un gruppo host del progetto team, può modificare le autorizzazioni per tutti gli ambienti sotto quel gruppo host del progetto team.
Gestisci percorsi lab	ManageLocation	Consente di modificare i percorsi di risorse Lab Management che includono gruppi host della raccolta, condivisioni di libreria della raccolta, gruppi host del progetto e condivisioni di libreria del progetto. Per modificare un percorso specifico, è necessario disporre dell'autorizzazione Gestisci percorsi lab per quel percorso. Questa autorizzazione per percorsi a livello di raccolta (gruppi host della raccolta e condivisioni di libreria della raccolta) consente anche di creare percorsi a livello di progetto (gruppo host del progetto e condivisione di libreria del progetto).
Gestisci autorizzazioni	ManagePermissions	Consente di modificare le autorizzazioni per un oggetto Lab Management. Viene verificata l'autorizzazione per l'oggetto le cui autorizzazioni sono in fase di modifica.
Gestisci snapshot	ManageSnapshots	Consente di eseguire tutte le attività di gestione degli snapshot per un ambiente, ad esempio acquisizione, ripristino, ridenominazione, eliminazione e lettura di uno snapshot.
Sospendi ambiente	Pause	Consente di sospendere un ambiente.
Start	Start	Consente di avviare un ambiente.
Interrompi	Interrompi	Consente di arrestare un ambiente.
Visualizza risorse lab	Lettura	Consente di visualizzare informazioni relative alle varie risorse Lab Management che includono gruppi host della raccolta, gruppi host del progetto e ambiente. Per visualizzare informazioni su una risorsa lab specifica, è necessario disporre dell'autorizzazione Visualizza risorse lab per tale risorsa.
Scrivi ambiente e macchine virtuali	Write	Consente di creare ambienti per un gruppo host del progetto. Gli utenti che dispongono di questa autorizzazione per una condivisione di libreria del progetto possono archiviare ambienti e modelli.

Note:

1. Al gruppo Readers sono assegnate le autorizzazioni di sola visualizzazione (Lettura).

Autorizzazioni di Release Management

In Release Management è possibile assegnare autorizzazioni in base al ruolo assegnato a un utente, autorizzazioni funzionali esplicite assegnate a gruppi o autorizzazioni assegnate a istanze specifiche di un oggetto rilascio. Inoltre, è possibile assegnare i responsabili approvazione e i validator a fasi specifiche in un percorso di rilascio per assicurarsi che le applicazioni da distribuire soddisfino gli standard di qualità.

• Basato sui ruoli: i due ruoli sono Responsabile del rilascio e Utente del servizio. I Responsabili del rilascio possono gestire tutte le funzioni, indipendentemente dai gruppi a cui sono collegati. L'Utente del servizio corrisponde a un ruolo account del servizio. Per limitare l'accesso di un utente, non assegnargli alcun ruolo. È possibile invece fare in modo che erediti le autorizzazioni assegnate al gruppo a cui è collegato.

• Gruppo: per limitare l'accesso ad aree funzionali specifiche, assegnare le autorizzazioni consentite da tale gruppo. I membri di tale gruppo ereditano le autorizzazioni assegnate al gruppo. La limitazione dell'accesso richiede la modifica delle autorizzazioni concesse al gruppo Tutti, che, per impostazione predefinita, include tutte le autorizzazioni.

• Oggetto: oltre ai ruoli e ai gruppi, è possibile limitare l'accesso alla modifica, la visualizzazione e la gestione della sicurezza dei percorsi e dei modelli di rilascio. Questa operazione può essere applicata tramite la scheda Sicurezza sul percorso di rilascio e tramite la pagina delle proprietà su un modello di rilascio.

• Responsabili approvazione e validator: i responsabili approvazione e i validator devono approvare ogni passaggio o fase di un rilascio. I responsabili approvazione e i validator vengono assegnati quando si configura un percorso di rilascio. Tutti i responsabili approvazione e i validator devono essere aggiunti come utenti o membri di un gruppo in Release Management.

Release Management definisce un singolo gruppo predefinito, Tutti, a cui appartengono tutti gli account che si aggiungono a Release Management. Inoltre, ai ruoli Utente del servizio e Responsabile del rilascio vengono allocate specifiche autorizzazioni.

La gestione delle autorizzazioni di Release Management viene eseguita tramite il client di Release Management. È possibile impostare queste autorizzazioni aprendo il sottomenu elencato nella colonna Posizione. Per altre informazioni su come impostare queste autorizzazioni, vedere Aggiungere utenti e gruppi e controllare l'accesso a Release Management. Per installare Release Management, andare qui.

Nome di autorizzazione o ruolo utente	Posizione	Descrizione	Tutti	Ruolo Responsabile del rilascio	Ruolo Utente del servizio
Responsabile del rilascio	Amministrazione > Profilo personale e Nuovo utente	Consente di amministrare Release Management Server, gestire la connessione tra TFS e Release Management e gestire gli oggetti seguenti: Percorsi di rilascio e informazioni relative alle fasi definite in un percorso di rilascio. Modelli di rilascio, inclusa l'aggiunta di strumenti e azioni personalizzati e di variabili di configurazione e della sequenza di distribuzione per tutte le fasi definite in un modello di rilascio. Sicurezza per tutte le aree funzionali. È consigliabile aggiungere: utenti che amministreranno Release Management Server.
Utente del servizio	Amministrazione > Profilo personale e Nuovo utente	Consente di gestire le distribuzioni o i pool di applicazioni Web. È consigliabile aggiungere: identità di account del servizio assegnate per eseguire pool di applicazioni server, il servizio di Windows di Deployment Agent e il monitoraggio di Release Management di Servizi Windows.
Visualizzazione	Configura applicazioni > Modello di rilascio > Proprietà Configura percorsi > Percorsi di rilascio	Consente di visualizzare i modelli di rilascio o i percorsi di rilascio e assegnare in modo selettivo a utenti specifici l'accesso in visualizzazione a modelli e percorsi di rilascio specifici. È consigliabile aggiungere: utenti o gruppi che devono visualizzare modelli di rilascio o percorsi di rilascio specifici, ma non modificarli.
Modifica	Configura applicazioni > Modello di rilascio > Proprietà Configura percorsi > Percorsi di rilascio	Consente di modificare i modelli o i percorsi di rilascio e scegliere quali utenti possono modificare modelli e percorsi di rilascio specifici. È consigliabile aggiungere: utenti o gruppi che devono modificare modelli di rilascio o percorsi di rilascio specifici.
Si può rilasciare	Configura applicazioni > Modello di rilascio > Proprietà	Consente di avviare un rilascio e specificare quali utenti possono avviare un rilascio dai modelli di rilascio che possono visualizzare. È consigliabile aggiungere: utenti o gruppi che avvieranno un rilascio. Con questa autorizzazione, è possibile specificare quali utenti possono avviare un rilascio dai modelli di rilascio che possono visualizzare.
Gestisci sicurezza	Configura applicazioni > Modello di rilascio > Proprietà Configura percorsi > Percorsi di rilascio	Consente di stabilire quali utenti o gruppi dispongono delle autorizzazioni per visualizzare, modificare o gestire i modelli o i percorsi di rilascio. È consigliabile aggiungere: utenti o gruppi che stabiliranno quali gruppi dispongono delle autorizzazioni per visualizzare, modificare o gestire i modelli o i percorsi di rilascio. Con questa autorizzazione, gli autori dei modelli e dei percorsi di rilascio possono controllare chi può visualizzare, modificare o rilasciare modelli o percorsi specifici.
Si può creare modello di rilascio	Configura applicazioni > Modello di rilascio	Consente di definire i modelli di rilascio. In assenza di questa autorizzazione, il pulsante Nuovo nella scheda Configura applicazioni > Modello di rilascio è nascosto. È consigliabile aggiungere: utenti o gruppi che devono creare, avviare o approvare un rilascio.
Si può creare percorso di rilascio	Configura percorsi > Percorsi di rilascio	Consente di definire le fasi, il processo di approvazione e la sicurezza dei percorsi di rilascio. In assenza di questa autorizzazione, il pulsante Nuovo nella scheda Configura percorsi > Percorsi di rilascio è nascosto. È consigliabile aggiungere: utenti o gruppi che devono gestire la configurazione del rilascio usata nella distribuzione delle applicazioni.
Si può gestire l'ambiente	Configura percorsi > Ambienti	Consente di definire le fasi che includono un percorso di rilascio e i server e la sicurezza per ciascuna fase. In assenza di questa autorizzazione, la scheda Configura i percorsi > Ambienti è nascosta. È consigliabile aggiungere: utenti o gruppi che devono gestire i server e gli ambienti usati per definire i percorsi di rilascio.
Si può gestire il server	Configura percorsi > Server	Consente di definire i percorsi di rilascio per la distribuzione delle applicazioni nel sistema. Questa autorizzazione supporta l'accesso alla definizione dell'utilizzo dei server per la distribuzione di applicazioni a server di produzione, di fase e di test. In assenza di questa autorizzazione, la scheda Configura percorsi > Server è nascosta. È consigliabile aggiungere: utenti o gruppi che definiranno i percorsi di rilascio per la distribuzione delle applicazioni nel sistema. Questa autorizzazione supporta l'accesso alla definizione dei server usati per la distribuzione di applicazioni a server di produzione, di fase e di test.
Si può gestire l'inventario	Inventario > Azioni e strumenti	Consente di definire gli strumenti e le azioni personalizzati per distribuire applicazioni nel sistema. Con questa autorizzazione possono visualizzare, modificare e creare le azioni e gli strumenti. Vedere Azioni di rilascio per distribuire un'app per Release Management. In assenza di questa autorizzazione, la scheda Inventario è nascosta. È consigliabile aggiungere: utenti o gruppi che definiranno gli strumenti e le azioni personalizzati per distribuire applicazioni nel sistema. Con questa autorizzazione possono visualizzare, modificare e creare azioni e strumenti usati nella distribuzione delle applicazioni.
Si può usare lo strumento personalizzato in azioni e componenti	Configura applicazioni > Componente> Distribuzione Configura applicazioni > Modello di rilascio > Componente > Distribuzione	Consente di modificare i campi Comando e Argomenti quando è selezionata l'opzione Nessuno strumento. In assenza di questa autorizzazione, gli utenti non possono modificare questi campi. È consigliabile aggiungere: utenti o gruppi che definiranno i percorsi di rilascio o i modelli di rilascio o che avvieranno i rilasci. Questa autorizzazione consente loro di modificare i campi Comando e Argomenti quando è selezionata l'opzione Nessuno strumento.
Modifica valori e server di destinazione	Configura applicazioni > Modello di rilascio	Consente di modificare le variabili di configurazione e di sequenza di distribuzione per rilasci o fasi specifiche. Senza questa autorizzazione, le informazioni relative alla fase sono di sola lettura. È consigliabile aggiungere: utenti o gruppi che definiranno i percorsi di rilascio o i modelli di rilascio o che avvieranno i rilasci. Questa autorizzazione consente loro di modificare le variabili di configurazione e di sequenza di distribuzione per rilasci o fasi specifiche.
Modifica approvazioni e ambiente	Configura percorsi > Percorso di rilascio > Fasi	Consente di modificare le approvazioni e gli ambienti per una determinata fase. Senza questa autorizzazione, le informazioni relative alla fase sono di sola lettura. È consigliabile aggiungere: utenti o gruppi che definiranno i modelli di rilascio o i percorsi di rilascio. Questa autorizzazione consente loro di modificare le approvazioni e gli ambienti per una specifica fase. Senza questa autorizzazione, le informazioni sulla fase sono di sola lettura.

Domande e risposte

D: Qual è la differenza tra autorizzazioni e livelli di accesso?

R: Alcune funzionalità di TFS sono disponibili solo per gli utenti che dispongono del livello di licenza appropriato per le funzionalità in questione. L'accesso a queste funzionalità non dipende dalle autorizzazioni, ma dall'appartenenza a gruppi di licenza per Team Web Access. Vedere Modifica dei livelli di accesso.

D: Quali autorizzazioni sono assegnate agli amministratori del team?

R: Gli amministratori del team dispongono di varie autorizzazioni basate sui ruoli che sono descritte qui.

D: Quali autorizzazioni sono associate agli avvisi?

R: non sono disponibili autorizzazioni di interfaccia utente associate ad avvisi che possono essere sottoscritti tramite TWA.

Per impostazione predefinita, tutti i collaboratori possono sottoscrivere autonomamente gli avvisi. I gruppi Project Collection Administrators e Project Administrators oppure gli utenti o i membri dei gruppi con autorizzazioni di tipo Modifica informazioni a livello di raccolta o Modifica informazioni a livello di progetto possono impostare avvisi per altri utenti o per un team.

È possibile gestire le autorizzazioni per gli avvisi usando TFSSecurity a livello di raccolta. Il Servizio eventi di Team Foundation Server è progettato in modo da essere flessibile ed estendibile.

Azione TFSSecurity	Spazio dei nomi TFSSecurity	Descrizione	Project Collection Administrators e Project Collection Service Accounts
CREATE_SOAP_SUBSCRIPTION	EventSubscription	Permette di creare una sottoscrizione a un servizio Web basato su SOAP.
GENERIC_READ	EventSubscription	Permette di visualizzare eventi di sottoscrizione definiti per un progetto team.
GENERIC_WRITE	EventSubscription	Permette di creare avvisi per altri utenti o per un team.
UNSUBSCRIBE	EventSubscription	Permette di annullare una sottoscrizione di eventi.

D: Quali altre funzionalità o strumenti fanno riferimento ai gruppi?

R: Le funzionalità che fanno riferimento ai gruppi di TFS incorporati e personalizzati (creati dall'utente) sono:

• Query di elementi di lavoro: operatore Nel gruppo, Non nel gruppo

• Attributo dell'elemento XML figlio Field (definizione): attributi for e not

• Attributo dell'elemento XML figlio Field (flusso di lavoro): attributi for e not

• Livelli di accesso

D: Che cos'è un utente valido?Come vengono popolati i gruppi di utenti validi?

R: Quando si aggiungono account di utenti direttamente a un gruppo TFS o mediante un gruppo Windows, questi vengono aggiungi automaticamente a uno dei gruppi di utenti validi.

• Server\Team Foundation Valid Users: tutti i membri aggiunti ai gruppi a livello di server.

• NomeRaccoltaProgetto\Project Collection Valid Users: tutti i membri aggiunti ai gruppi a livello di raccolta di progetti.

• NomeProgettoTeam\Project Valid Users: tutti i membri aggiunti ai gruppi a livello di progetto.

Le autorizzazioni predefinite assegnate a questi gruppi prevedono inizialmente la limitazione dell'accesso in lettura, ad esempio Visualizza risorse di compilazione , Visualizza informazioni a livello di progetto e Visualizza informazioni a livello di raccolta.

Pertanto, tutti gli utenti che vengono aggiunti a un progetto team possono visualizzare gli oggetti in altri progetti team all'interno di una raccolta. Se è necessario limitare l'accesso in visualizzazione, è possibile impostare le limitazioni tramite il nodo del percorso area. Per informazioni su altri metodi, vedere Limitare l'accesso a funzioni e attività.

Se l'autorizzazione Visualizza informazioni a livello di istanza per uno dei gruppi Valid Users viene rimossa o impostata su Nega, gli utenti del gruppo non saranno in grado di accedere al progetto team, alla raccolta o alla distribuzione, a seconda del gruppo impostato.

Inoltre, è possibile usare l'elemento VALIDUSER per consentire o limitare l'accesso per la gestione di elementi di lavoro.

D: Come si gestiscono le autorizzazioni per l'accesso ai report o al portale del progetto?

R: Per informazioni su come impostare le autorizzazioni in Reporting Services e Prodotti SharePoint per gli utenti in TFS, vedere Impostare autorizzazioni di amministratore per raccolte di progetti team e Impostare le autorizzazioni di amministratore per Team Foundation Server.

Per esempi dettagliati su come creare gruppi personalizzati, configurare le autorizzazioni per controllare l'accesso alle risorse e altre opzioni, vedere Limitare l'accesso a funzioni e attività.