Team Foundation Server 使用權限

更新：2010 年 7 月

透過了解和設定指派給該部署中使用者和群組的使用權限，可以控制 Visual Studio Team Foundation Server 部署中 Team 專案和 Team 專案集合的存取權。

注意事項

本主題不討論 SharePoint 產品或 SQL Server Reporting Services 的使用權限。 本主題只會討論 Team Foundation Server 中設定的那些使用權限。 如需 Reporting Services 的詳細資訊，請參閱 SQL Server Reporting Services 角色。 如需 SharePoint 產品的詳細資訊，請參閱 SharePoint 產品和 Team Foundation Server 之間的互動和 SharePoint 產品中的角色。 如需如何設定 Team Foundation Server 中使用者在 Reporting Services 和 SharePoint 產品中之使用權限的詳細資訊，請參閱將使用者加入至 Team 專案、設定 Team 專案集合的系統管理員權限和設定 Team Foundation Server 的系統管理員權限。

使用權限決定了使用者動作 (如管理工作區和建立專案) 的授權。 當您在 Team Foundation Server 中建立專案時，不論您選擇哪一種流程範本，都會為該專案建立四個預設群組。 根據預設，每一個預設群組都會定義一組使用權限，用來管理這些群組的成員授權可以執行的動作。

• Project Administrators

• Contributors

• Readers

• Builders

除了針對每個 Team 專案建立的預設群組之外，當您在建立 Team 專案集合時，不論您選擇的流程範本為何，還會針對該集合建立七個預設群組。 這些群組也都各有一組為其定義的使用權限。

• Project Collection Administrators

• Project Collection Service Accounts

• Project Collection Build Administrators

• Project Collection Build Service Accounts

• Project Collection Valid Users

• Collection Proxy Service Accounts

• Project Collection Test Service Accounts

當您安裝 Team Foundation Server 時，會在伺服器層級上建立五個預設群組。 這些群組也都各有一組為其定義的使用權限。

• Team Foundation Administrators

• Team Foundation Service Accounts

• Team Foundation Valid Users

• SharePoint Web Application Services

• Work Item Only View Users

若要有效率地管理這些預設群組中的使用者成員資格，以及建立自訂群組，則系統管理員必須先了解使用權限的意義以及明確設定使用權限的安全性含意。

使用權限設定

您可以針對 Team Foundation Server 中的使用權限指定兩種明確授權設定：[拒絕] 和 [允許]。 另外還有一種隱含授權，不會將使用權限設為 [允許]，也不會將使用權限設為 [拒絕]。 這種授權是隱含的 [拒絕] 設定，稱為「尚未設定」(Unset)。

拒絕

[拒絕] 即拒絕授權，讓使用者或群組執行在使用權限描述中所指定的動作。 [拒絕] 是 Team Foundation Server 中最強的使用權限設定。 如果使用者屬於 Team Foundation Server 群組，而且這個群組已將特定使用權限設為 [拒絕]，則就算這位使用者所屬的另一個群組已將該使用權限設為 [允許]，這位使用者還是無法執行該項功能。 這項規則唯一的例外是使用者是專案的 [Project Administrators] 群組成員、Team 專案集合的 [Project Collection Administrators] 群組成員或 [Team Foundation Administrators] 群組成員時。 如果使用者是專案的 [Project Administrators] 群組成員，則該群組的使用權限會覆寫專案中該使用者的明確 [拒絕]。 同樣地，如果使用者是 [Project Collection Administrators] 群組成員，則該群組的使用權限會覆寫該集合中那個使用者的明確 [拒絕]。 如果使用者是 [Team Foundation Administrators] 群組成員，則該群組的使用權限會覆寫 Team Foundation Server 中該使用者的明確 [拒絕]。

允許

[允許] 即同意授權，讓使用者或群組執行在使用權限描述中所指定的動作。 [允許] 是 Team Foundation Server 中次強的使用權限設定，而且最常進行設定。 如果未將使用權限明確設為 [允許]，則使用者或群組無法在 Team Foundation Server 中執行該動作。

不設定

Team Foundation Server 中的大多數使用權限預設都不會設定為 [拒絕] 或 [允許]。 使用權限會保留為「尚未設定」，其隱含意義就是拒絕授權讓使用者和群組執行在使用權限描述中所指定的動作。 但是，因為使用權限未明確設為 [拒絕]，也未明確設為 [允許]，所以還是可以從使用者或群組所屬的其他群組中繼承該使用權限的授權。

繼承

未設定使用者或群組的使用權限時，只要明確設定該使用者或群組所屬之群組的使用權限，就可以改變他們的使用權限，因為 Team Foundation Server 中的使用權限是繼承而來的。 例如，使用者可能屬於專案中的兩個自訂群組。 如果其中一個群組具有明確設為 [拒絕] 的使用權限，而另一個群組未設定相同使用權限，則使用者沒有使用權限可以執行該使用權限所控制的動作。 使用者會繼承這兩個群組的使用權限，而 [拒絕] 使用權限的優先順序高於未設定使用權限。

注意事項
在 Team Foundation Server 中，不會繼承在 Team Foundation Server 外部 (如 SharePoint 產品中) 設定的使用權限。 這不在本主題的討論範圍。

某些授權設定會優先於其他的授權設定。 在 Team Foundation Server 中，[拒絕] 使用權限的優先順序高於該明確結構的其他所有使用權限設定 (包括 [允許])。 [拒絕] 使用權限若繼承自階層式父代 (例如在版本控制中)，則沒有優先權。 例如，使用者可能屬於專案中的兩個群組。 其中一個群組的 [發行測試結果] 使用權限是設為 [拒絕]，而另一個群組的這項使用權限則是設為 [允許]。 [拒絕] 設定的優先順序最高，因此不會授權使用者發行測試結果。 這項規則唯一的例外是明確 [拒絕] 繼承自階層式父代或使用者是下列其中一個群組的成員時：

• Project Administrators

• Project Collection Administrators

• Team Foundation Administrators

在階層式結構 (例如版本控制和工作項目追蹤) 中，特定物件上設定的明確使用權限會覆寫繼承自父物件的使用權限。

透過 Team Foundation Server 使用者介面和透過命令列設定的使用權限

您想要為 Team Foundation Server 設定的許多使用權限，都是透過 Team Foundation Server 使用者介面所控制。 您可以依據伺服器 (伺服器層級使用權限)、集合 (集合層級使用權限) 或專案 (專案層級使用權限) 來設定這些使用權限。 您還可以設定區域層級和反覆項目層級使用權限，以便對各個專案中的工作項目進行檢視與互動。 如需如何為使用者和群組設定使用權限的詳細資訊，請參閱設定使用者、群組和使用權限和管理使用權限。

伺服器層級的使用權限

伺服器層級使用權限不是單一 Team 專案或 Team 專案集合專有， 而是依據整個部署而設定，並且授與它們可以影響部署中每個專案和集合的使用權限。

您只能針對兩種類別的使用者設定這些使用權限：

• 伺服器層級使用者和群組 (例如 Team Foundation Administrators)

• 您所建立並加入至伺服器層級的自訂群組

您可以開啟 Team Foundation 的管理主控台，來設定這些使用權限。 您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。 如需詳細資訊，請參閱使用 Team Foundation 管理主控台設定您的伺服器和使用 TFSSecurity 變更群組和權限。

下表列出每個伺服器層級使用權限，並提供其用途的簡短說明。

使用權限名稱	命令列中的名稱	說明
建立 Team 專案集合	CreateCollection	具有這個使用權限的使用者可以建立和管理 Team Foundation Server 中的 Team 專案集合。
刪除 Team 專案集合	DeleteCollection	具有這個使用權限的使用者可以刪除部署中的 Team 專案集合。 注意事項 刪除 Team 專案集合，並不會從 SQL Server 中刪除集合的資料庫。
編輯執行個體層級資訊	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	具有這個使用權限的使用者可以編輯 Team Foundation Server 中使用者和群組的伺服器層級使用權限。 他們可以在集合中加入或移除伺服器層級應用程式群組。 透過功能表設定時，[編輯執行個體層級資訊] 使用權限也會隱含地允許使用者修改版本控制使用權限。 若要在命令提示字元授與上述所有使用權限，您必須使用 tf.exe Permission 命令來授與 AdminConfiguration 和 AdminConnections 使用權限以及 GENERIC_WRITE。 注意：您無法移除預設伺服器層級群組 (例如 Team Foundation Administrators)。
代表其他人提出要求	Impersonate	具有這個使用權限的使用者可以代表其他使用者或服務執行作業。 這個使用權限應該只指派給服務帳戶。
觸發事件	TRIGGER_EVENT	具有這個使用權限的使用者可以在 Team Foundation Server 內觸發警示事件。 這個使用權限只應該指派給服務帳戶和 [Team Foundation Administrators] 群組的成員。
使用完整 Web 存取功能	FullAccess	擁有這個使用權限的使用者可以使用 Team Web Access 的所有功能。
檢視執行個體層級資訊	GENERIC_READ	具有這個使用權限的使用者可以檢視伺服器層級的群組成員資格以及這些使用者的使用權限。

集合層級使用權限

集合層級使用權限並不是單一專案特有的， 而是針對整個集合所設定。 您只能針對三種使用者設定這些使用權限：

• 集合層級使用者和群組 (例如 Project Collection Administrators)

• 執行 Team Foundation 的伺服器上已加入至集合層級的專案層級群組

• 您所建立並加入至集合層級的自訂群組

以滑鼠右鍵按一下 Team 總管 中的伺服器，然後按一下 [安全性]，以設定這些使用權限，也可以在 Team Foundation 的管理主控台中設定這些使用權限。 您也可以使用 TFSSecurity 命令列工具來設定這些使用權限，但不包括具有 tf: 指定的命令列工具。 針對具有 tf: 指定的工具，請使用 tf 版本控制命令列工具的 Permission 命令來設定使用權限。 如需詳細資訊，請參閱集合層級群組、使用 TFSSecurity 變更群組和權限和 Permission 命令。

使用權限名稱	命令列中的名稱	說明
管理擱置的變更	tf: AdminShelvesets	具有這個使用權限的使用者可以刪除由其他使用者建立的擱置集。
管理倉儲	ADMINISTER_WAREHOUSE	具有這個使用權限的使用者可以使用 WarehouseController.asmx Web 服務的 ChangeSetting Web 方法來變更倉儲設定。 例如，您可以允許使用者設定計算 OLAP Cube 的更新間隔時間。
管理工作區	tf: AdminWorkspaces	具有這個使用權限的使用者可以為其他使用者建立工作區，以及刪除由其他使用者建立的工作區。
修改追蹤設定	DIAGNOSTIC_TRACE	具有這個使用權限的使用者可以變更追蹤設定，以收集更詳細的 Team Foundation Server Web 服務診斷資訊。
建立工作區	tf: CreateWorkspace	具有這個使用權限的使用者可以建立版本控制工作區。
建立新專案	CREATE_PROJECTS	具有這個使用權限的使用者可以建立 Team 專案集合中的專案。 注意事項 並非只需具有這個使用權限，還必須以系統管理員身分執行 Visual Studio，才能順利完成 [建立新的 Team 專案精靈]。如需詳細資訊，請參閱建立 Team 專案。
刪除 Team 專案	Delete	具有這個使用權限的使用者可以刪除 Team 專案集合中的 Team 專案。 重要事項 刪除 Team 專案，會刪除與專案相關聯的所有資料。您除了將集合還原至刪除專案之前的位置以外，無法復原 Team 專案的刪除作業。
刪除 Team 專案集合	DeleteCollection	具有這個使用權限的使用者可以移除 Team 專案集合。
編輯集合層級資訊	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	具有這個使用權限的使用者可以編輯 Team 專案集合中使用者和群組的集合層級使用權限。 他們可以在集合中加入或移除集合層級 Team Foundation Server 應用程式群組。 透過功能表設定時，[編輯集合層級資訊] 使用權限也會隱含地允許使用者修改版本控制使用權限。 若要在命令提示字元授與上述所有使用權限，您必須使用 tf.exe Permission 命令來授與 AdminConfiguration 和 AdminConnections 使用權限以及 GENERIC_WRITE。 注意事項 您無法移除預設集合層級群組 (例如 Project Collection Administrators)。
代表其他人提出要求	Impersonate	具有這個使用權限的使用者可以代表其他使用者或服務執行作業。 這個使用權限應該只指派給服務帳戶。
管理組建資源	ManageBuildResources	具有這個使用權限的使用者可以管理 Team 專案集合的組建電腦、組建代理程式和組建控制器。 這些使用者也可以授與或拒絕其他使用者的 [檢視組建資源] 和 [使用組建資源] 使用權限。
管理流程範本	MANAGE_TEMPLATE	具有這個使用權限的使用者可以對 Team 專案集合下載、建立、編輯和上載流程範本。
管理測試控制器	MANAGE_TEST_CONTROLLERS	具有這個使用權限的使用者可以註冊和取消註冊 Team 專案集合的測試控制器。
管理工作項目連結類型	WORK_ITEM_WRITE	具有這個使用權限的使用者可以加入、移除和變更工作項目的連結類型。
觸發事件	TRIGGER_EVENT	具有這個使用權限的使用者可以觸發 Team 專案集合內的專案警示事件。 這個使用權限應該只指派給服務帳戶。
使用組建資源	UseBuildResources	具有這個使用權限的使用者可以保留以及配置組建代理程式。 這個使用權限應該只指派給組建服務的服務帳戶。
檢視組建資源	ViewBuildResources	具有這個使用權限的使用者可以檢視針對集合設定的組建控制器和組建代理程式。 若要使用這些資源，您需要其他的使用權限。
檢視集合層級資訊	GENERIC_READ	具有這個使用權限的使用者可以檢視集合層級群組成員資格以及這些使用者的使用權限。
檢視系統同步處理資訊	SYNCHRONIZE_READ	具有這個使用權限的使用者可以呼叫同步處理應用程式發展介面。 這個使用權限應該只指派給服務帳戶。
檢視測試回合	VIEW_TEST_RESULTS	具有這個使用權限的使用者可以檢視此節點中的測試計劃。

專案層級的使用權限

專案層級的使用權限是針對單一專案的使用者和群組所設定的。 以滑鼠右鍵按一下 Team 總管中的專案，並按一下 [Team 專案設定]，然後按一下 [安全性]，就可以在 Team Foundation Server 中設定這些使用權限。 您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

組建層級使用權限

組建 (Build) 層級的使用權限是針對單一專案的使用者和群組所設定的。 您可以在 Team 專案層級設定組建使用權限，也可以設定特定組建定義的使用權限。 開啟 Team 總管中的專案，並以滑鼠右鍵按一下 [組建]，然後按一下 [安全性]，就可以設定這些使用權限。 以滑鼠右鍵按一下組建定義，然後按一下 [安全性]，就可以將使用權限套用至特定組建定義。 如果您想要將使用權限套用至組建資料夾，請以滑鼠右鍵按一下該資料夾，並按一下 [安全性]。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

工作項目追蹤的區域層級使用權限

區域層級的使用權限是針對單一專案的使用者和群組所設定的。 以滑鼠右鍵按一下 Team 總管中的專案，並按一下 [區域和反覆項目]，然後按一下 [區域] 索引標籤上的 [安全性]，就可以設定這些使用權限。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

注意事項
某些工作項目追蹤作業需要多項使用權限。 例如，您需要有多項使用權限才能刪除節點。

工作項目追蹤的反覆項目層級使用權限

反覆項目層級使用權限是專為單一專案的使用者和群組所設定。 以滑鼠右鍵按一下 Team 總管中的專案，並按一下 [區域和反覆項目]，然後按一下 [反覆項目] 索引標籤上的 [安全性]，就可以設定這些使用權限。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

注意事項
某些工作項目追蹤作業需要多項使用權限。 例如，您需要有多項使用權限才能刪除節點。

版本控制使用權限

版本控制使用權限是針對原始程式碼檔案和資料夾所設定。 以滑鼠右鍵按一下 [原始檔控制總管] 中的資料夾或檔案，並按一下 [內容]，然後按一下 [安全性] 索引標籤，就可以設定這些使用權限。 在該索引標籤上，您可以按一下想要變更其使用權限的使用者或群組，然後編輯 [使用權限] 中所列的使用權限。 您也可以使用 tf 版本控制命令列工具，來設定這些使用權限。

Lab Management 使用權限

Visual Studio Lab Management 使用權限是虛擬機器、環境和其他資源特有的。 您可以使用 TFSLabConfig 命令列工具來設定這些使用權限。

請參閱

工作

開啟 Team Foundation 管理主控台

參考

Permission 命令

概念

設定使用者、群組和使用權限

伺服器層級群組

使用 TFSLabConfig 設定 Lab Management

使用測試計劃定義您的測試工作

其他資源

使用 TFSSecurity 變更群組和權限

Team Foundation 版本控制命令列參考

管理使用權限

集合層級群組

專案層級群組

使用 TFSSecurity 變更群組和權限

變更記錄