Team Foundation Server-Berechtigungen
Die Autorisierungen für Benutzeraktionen wie Arbeitsbereichsverwaltung und Projekterstellung werden durch Berechtigungen festgelegt. Wenn Sie in Team Foundation Server ein Projekt erstellen, werden unabhängig von der ausgewählten Prozessvorlage für dieses Projekt vier Standardgruppen erstellt. Jede dieser Gruppen verfügt standardmäßig über eine Reihe von Berechtigungen, die für sie definiert wurden. In diesen Berechtigungen wird festgelegt, welche Mitglieder dieser Gruppen zu welchen Aktionen autorisiert sind.
Project Administrator
Beteiligte Person
Reader
Build Services
Um Standardgruppen zu verwalten und benutzerdefinierte Gruppen zu erstellen, müssen die Administratoren die Bedeutung der Berechtigungen und die Auswirkungen der expliziten Festlegung von Berechtigungen auf die Sicherheit kennen.
Hinweis
In diesem Thema werden keine Berechtigungen für Windows SharePoint Services oder SQL Reporting Services erläutert. In diesem Thema werden ausschließlich in Team Foundation Server festgelegte Berechtigungen erläutert.
Berechtigungseinstellungen
Es gibt zwei explizite Autorisierungseinstellungen für Berechtigungen in Team Foundation Server: Verweigern und Zulassen. Weiterhin ist eine implizite Autorisierung verfügbar, mit der die Berechtigung weder auf Zulassen noch auf Verweigern festgelegt wird. Diese Autorisierung ist eine implizite Verweigerungseinstellung, die als nicht festgelegt bezeichnet wird.
Verweigern
Durch die Einstellung Verweigern wird dem Benutzer oder der Gruppe die Berechtigung zum Ausführen der Aktionen verweigert, die in der Berechtigungsbeschreibung aufgeführt werden. Verweigern stellt die wirkungsvollste Berechtigungseinstellung in Team Foundation Server dar. Wenn ein Benutzer zu einer Team Foundation Server-Gruppe gehört, für die eine bestimmte Berechtigung auf Verweigern festgelegt ist, kann der Benutzer diese Funktion nicht anwenden. Dies ist auch dann der Fall, wenn der Benutzer zu einer anderen Gruppe gehört, für die diese Berechtigung auf Zulassen festgelegt ist. Die einzige Ausnahme von dieser Regel sind Benutzer, die entweder Mitglied der Gruppe Projektadministratoren für ein Projekt oder Mitglied der Gruppe Team Foundation-Administratoren sind. Wenn ein Benutzer Mitglied der Gruppe Projektadministratoren für ein Projekt ist, werden für diesen Benutzer Autorisierungseinstellungen, die im Projekt explizit auf Verweigern festgelegt sind, durch die Berechtigungen dieser Gruppe überschrieben. Entsprechend werden für Mitglieder der Administratorengruppe von Team Foundation Autorisierungseinstellungen, die für diese Benutzer in Team Foundation Server explizit auf Verweigern festgelegt sind, durch die Berechtigungen dieser Gruppe überschrieben.
Zulassen
Durch die Einstellung Zulassen wird dem Benutzer oder der Gruppe die Berechtigung zum Ausführen der Aktionen erteilt, die in der Berechtigungsbeschreibung aufgeführt werden. Zulassen ist nach der Einstellung Verweigern die wirkungsvollste Berechtigungseinstellung in Team Foundation Server. Zudem wird sie am häufigsten verwendet, da ein Benutzer oder eine Gruppe keine Aktionen in Team Foundation Server ausführen kann, wenn eine Berechtigung nicht explizit auf Zulassen festgelegt ist.
Nicht festgelegt
Standardmäßig sind die meisten Berechtigungen in Team Foundation Server weder auf Verweigern noch auf Zulassen festgelegt. Die Berechtigungen werden als nicht festgelegt beibehalten, wodurch sowohl den Benutzern als auch den Gruppen die Berechtigung zum Ausführen der Aktionen gemäß der Berechtigungsbeschreibung implizit verweigert wird. Da die Berechtigung jedoch weder explizit auf Verweigern noch explizit auf Zulassen festgelegt ist, kann die Autorisierung für diese Berechtigung aus anderen Gruppen geerbt werden, in denen der Benutzer oder die Gruppe Mitglied ist.
Vererbung
Wenn eine Berechtigung für einen Benutzer oder eine Gruppe nicht festgelegt ist, kann für den Benutzer oder die Gruppe die explizite Einstellung für die Berechtigung der Gruppen gelten, in denen er bzw. sie Mitglied ist, da Berechtigungen in Team Foundation Server vererbbar sind. Wenn eine Berechtigung für eine Gruppe explizit festgelegt wurde und der Benutzer Mitglied dieser Gruppe ist, er aber auch Mitglied einer anderen Gruppe ist, für die diese Berechtigung nicht festgelegt wurde, erbt der Benutzer die Einstellung für diese Berechtigung (Zulassen oder Verweigern) aus der anderen Gruppe.
Hinweis
Außerhalb von Team Foundation Server festgelegte Berechtigungen (z. B. in Windows SharePoint Services) werden in Team Foundation Server nicht geerbt und auch nicht in diesem Thema erläutert.
Bestimmte Autorisierungseinstellungen haben Vorrang gegenüber anderen Autorisierungseinstellungen. In Team Foundation Server hat die Berechtigung Verweigern Vorrang gegenüber allen anderen Berechtigungseinstellungen, einschließlich Zulassen. Angenommen, ein Benutzer gehört zu zwei Gruppen in einem Projekt. Für eine Gruppe ist die Berechtigung Testergebnisse veröffentlichen auf Verweigern festgelegt, während für die andere Gruppe diese Berechtigung auf Zulassen festgelegt ist. Die Einstellung Verweigern hat Vorrang, und der Benutzer ist somit nicht zum Veröffentlichen von Testergebnissen autorisiert. Die einzige Ausnahme von dieser Regel sind Benutzer, die entweder Mitglied der Gruppe Projektadministratoren für ein Projekt oder Mitglied der Gruppe Team Foundation-Administratoren sind. Wenn ein Benutzer Mitglied der Gruppe Projektadministratoren für ein Projekt ist, werden für diesen Benutzer Autorisierungseinstellungen, die im Projekt explizit auf Verweigern festgelegt sind, durch die Berechtigungen dieser Gruppe überschrieben. Entsprechend werden für Mitglieder der Gruppe Team Foundation-Administratoren Autorisierungseinstellungen, die für diese Benutzer in Team Foundation Server explizit auf Verweigern festgelegt sind, durch die Berechtigungen dieser Gruppe überschrieben.
Über die Team Foundation Server-Benutzeroberfläche und die Befehlszeile festgelegte Berechtigungen
Viele der Berechtigungen, die Sie möglicherweise für Team Foundation Server festlegen möchten, werden über die Team Foundation Server-Benutzeroberfläche gesteuert. Sie können diese Berechtigungen auf Serverbasis (Berechtigungen auf Serverebene) oder auf Projektbasis (Berechtigungen auf Projektebene) festlegen. Zudem können Sie Berechtigungen auf Bereichsebene zum Anzeigen und Interagieren mit Arbeitsaufgaben auf Projektbasis festlegen. Weitere Informationen darüber, welche Berechtigungen für welche Benutzer standardmäßig festgelegt werden und welche Berechtigungen für MSF for Agile Software Development-Gruppen oder MSF CMMI Process Improvement-Gruppen festgelegt werden, finden Sie unter Team Foundation Server: Standardgruppen, Berechtigungen und Rollen. Weitere Informationen über das Festlegen von Berechtigungen für Benutzer und Gruppen finden Sie unter Verwalten von Benutzern und Gruppen und Verwalten von Berechtigungen. Weitere Informationen über das Verwalten von Arbeitsaufgaben finden Sie unter Verwalten von Team Foundation-Arbeitsaufgaben.
Berechtigungen auf Serverebene
Berechtigungen auf Serverebene sind nicht an ein einzelnes Projekt gebunden, sondern werden stattdessen serverweit festgelegt. Sie können diese Berechtigungen nur für Benutzer und Gruppen auf Serverebene (z. B. Team Foundation-Administratoren) festlegen, Sie können sie für Gruppen auf Projektebene festlegen, die auf dem Team Foundation-Server der Serverebene hinzugefügt wurden, und Sie können sie für die von Ihnen erstellten und der Serverebene hinzugefügten benutzerdefinierten Gruppen festlegen. Diese Berechtigungen können in Team Foundation Server festgelegt werden, indem Sie in Team Explorer mit der rechten Maustaste auf den Server klicken und anschließend auf Sicherheit klicken. Sie können aber auch mithilfe des Befehlszeilendienstprogramms TFSSecurity festgelegt werden, sofern es sich nicht um Berechtigungen mit der Bezeichnung tf: handelt. Diese Berechtigungen können mit dem Permission-Befehl des tf-Befehlszeilendienstprogramms für die Quellcodeverwaltung festgelegt werden. Weitere Informationen finden Sie unter Befehle des Befehlszeilendienstprogramms "TFSSecurity" und Befehl Permission.
| Berechtigungsname | Name in der Befehlszeile | Beschreibung |
|---|---|---|
Abgelegte Änderungen verwalten |
tf: AdminShelvesets |
Benutzer mit dieser Berechtigung können von anderen Benutzern erstellte Shelvesets löschen. |
Warehouse verwalten |
ADMINISTER_WAREHOUSE |
Benutzer mit dieser Berechtigung können Warehouseeinstellungen mithilfe der ChangeSetting-Webmethode des Webdiensts WarehouseController.asmx ändern. Zum Beispiel können Sie zulassen, dass Benutzer das Aktualisierungsintervall zum Berechnen der OLAP-Cubes festlegen. |
Arbeitsbereiche verwalten |
tf: AdminWorkspaces |
Benutzer mit dieser Berechtigung können Arbeitsbereiche für andere Benutzer erstellen und von anderen Benutzern erstellte Arbeitsbereiche löschen. |
Arbeitsbereich erstellen |
tf: CreateWorkspace |
Benutzer mit dieser Berechtigung können in der Quellcodeverwaltung einen Arbeitsbereich erstellen. |
Neue Projekte erstellen |
CREATE_PROJECTS |
Benutzer mit dieser Berechtigung können in Team Foundation Server neue Projekte erstellen. Um erfolgreich neue Projekte erstellen zu können, müssen diese Benutzer Mitglied der Gruppe SharePoint Central Admins von Windows SharePoint Server sein und in SQL Reporting Services über Inhalts-Manager-Berechtigungen verfügen. |
Serverebeneninformationen bearbeiten |
GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections |
Benutzer mit dieser Berechtigung können Berechtigungen auf Serverebene für Benutzer und Gruppen auf Team Foundation Server festlegen. Sie können Team Foundation Server-Anwendungsgruppen auf Serverebene zum Team Foundation Server hinzufügen bzw. löschen. Durch Gewähren der Serverebeneninformation bearbeiten-Berechtigung über die Menüs erhält der Benutzer auch implizit die Berechtigung zum Ändern von Quellcodesteuerungs-Berechtigungen. Um alle oben beschriebenen Berechtigungen über die Befehlszeile zu gewähren, müssen Sie mit dem Befehl tf.exe Permission die AdminConfiguration-Berechtigung, die AdminConnections-Berechtigung sowie GENERIC_WRITE gewähren. Hinweis Standardservergruppen wie Team Foundation-Administratoren können nicht gelöscht werden. |
Ablaufverfolgungseinstellungen ändern |
DIAGNOSTIC_TRACE |
Benutzer mit dieser Berechtigung können die Ablaufverfolgungseinstellungen zum Erfassen genauerer Diagnoseinformationen über Team Foundation Server-Webdienste ändern. Weitere Informationen zur Ablaufverfolgung finden Sie unter Ablaufverfolgungseinstellungen für Team Foundation Server. |
Triggerereignisse |
TRIGGER_EVENT |
Benutzer mit dieser Berechtigung können Projektwarnungsereignisse in Team Foundation Server auslösen. Diese Berechtigung darf nur Dienstkonten zugewiesen werden. |
Prozessvorlage verwalten |
MANAGE_TEMPLATE |
Benutzer mit dieser Berechtigung können Prozessvorlagen downloaden, erstellen, bearbeiten und in Team Foundation Server uploaden. |
Serverebeneninformationen anzeigen |
GENERIC_READ |
Benutzer mit dieser Berechtigung können die Gruppenmitgliedschaften auf Serverebene und die Berechtigungen der entsprechenden Benutzer anzeigen. |
Systemsynchronisierungsinformationen anzeigen |
SYNCHRONIZE_READ |
Benutzer mit dieser Berechtigung können Synchronisierungsereignisse auslösen. Diese Berechtigung darf nur Dienstkonten zugewiesen werden. |
Berechtigungen auf Projektebene
Berechtigungen auf Projektebene sind an die Benutzer und Gruppen eines einzelnen Projekts gebunden. Sie können diese Berechtigungen in Team Foundation Server festlegen, indem Sie in Team Explorer mit der rechten Maustaste auf das Projekt klicken und anschließend auf Sicherheit klicken. Darüber hinaus können Sie diese Berechtigungen mithilfe des TFSSecurity-Befehlszeilendienstprogramms festlegen.
| Berechtigungsname | Name in der Befehlszeile | Beschreibung |
|---|---|---|
Build verwalten |
ADMINISTER_BUILD |
Benutzer mit dieser Berechtigung können abgeschlossene Builds löschen und derzeit ausgeführte Builds stoppen. |
Dieses Projekt löschen |
DELETE |
Benutzer mit dieser Berechtigung können das entsprechende Projekt auf dem Team Foundation Server löschen. |
Buildqualität bearbeiten |
EDIT_BUILD_STATUS |
Benutzer mit dieser Berechtigung können über die Benutzeroberfläche von Team Foundation Build Informationen zur Qualität des Builds hinzufügen. Diese Informationen werden im Team Foundation Build-Datenbankspeicher gespeichert. |
Projektebeneninformationen bearbeiten |
GENERIC_WRITE |
Benutzer mit dieser Berechtigung können Berechtigungen auf Projektebene für Benutzer und Gruppen auf Team Foundation Server festlegen. |
Testergebnisse veröffentlichen |
PUBLISH_TEST_RESULTS |
Benutzer mit dieser Berechtigung können auf dem Teamprojektportal Testergebnisse und Testläufe hinzufügen oder entfernen. |
Build starten |
START_BUILD |
Benutzer mit dieser Berechtigung können über die Benutzeroberfläche von Team Foundation Build oder die Befehlszeile ein Build starten. |
Projektebeneninformationen anzeigen |
GENERIC_READ |
Benutzer mit dieser Berechtigung können die Gruppenmitgliedschaften auf Projektebene und die Berechtigungen der entsprechenden Projektbenutzer anzeigen. |
In Buildbetriebsspeicher schreiben |
UPDATE_BUILD |
Diese Berechtigung muss dem Konto erteilt werden, unter dem der Builddienst ausgeführt wird, um den Team Foundation Build-Datenbankspeicher zu aktualisieren. Diese Berechtigung sollte nur Dienstkonten und nicht einzelnen Benutzern zugewiesen werden. |
Berechtigungen auf Bereichsebene zur Arbeitsaufgabenverfolgung
Berechtigungen auf Bereichsebene sind an die Benutzer und Gruppen eines einzelnen Projekts gebunden. Sie können diese Berechtigungen festlegen, indem Sie in Team Explorer mit der rechten Maustaste auf das Projekt klicken. Klicken Sie anschließend auf Bereiche und Iterationen, und klicken Sie auf der Registerkarte Bereich auf Sicherheit. Darüber hinaus können Sie diese Berechtigungen mithilfe des TFSSecurity-Befehlszeilendienstprogramms festlegen.
Hinweis
Für einige Vorgänge in der Arbeitsaufgabenverfolgung sind mehrere Berechtigungen erforderlich, z. B. für das Löschen eines Knotens.
| Berechtigungsname | Name in der Befehlszeile | Beschreibung |
|---|---|---|
Untergeordnete Knoten erstellen und anordnen |
CREATE_CHILDREN |
Benutzer mit dieser Berechtigung können neue Bereichsknoten erstellen. Benutzer mit dieser Berechtigung und der Diesen Knoten bearbeiten-Berechtigung können beliebige untergeordnete Bereichsknoten verschieben und neu anordnen. |
Diesen Knoten löschen |
DELETE |
Benutzer mit dieser Berechtigung und der Arbeitsaufgaben in diesem Knoten bearbeiten-Berechtigung für einen anderen Knoten können Bereichsknoten löschen und vorhandene Arbeitsaufgaben aus dem gelöschten Knoten neu klassifizieren. Alle untergeordneten Knoten unter dem gelöschten übergeordneten Knoten werden ebenfalls gelöscht. |
Diesen Knoten bearbeiten |
GENERIC_WRITE |
Benutzer mit dieser Berechtigung können Bereichsknoten umbenennen. |
Arbeitsaufgaben in diesem Knoten bearbeiten |
WORK_ITEM_WRITE |
Benutzer mit dieser Berechtigung können Arbeitsaufgaben in diesem Bereichsknoten bearbeiten. |
Diesen Knoten anzeigen |
GENERIC_READ |
Benutzer mit dieser Berechtigung können die Sicherheitseinstellungen für diesen Knoten anzeigen. |
Arbeitsaufgaben in diesem Knoten anzeigen |
WORK_ITEM_READ |
Benutzer mit dieser Berechtigung können Arbeitsaufgaben in diesem Bereichsknoten anzeigen, aber nicht bearbeiten oder ändern. |
Berechtigungen der Quellcodeverwaltung
Die Berechtigungen der Quellcodeverwaltung sind an Quellcodedateien und Quellcodeordner gebunden. Sie können diese Berechtigungen festlegen, indem Sie im Quellcodeverwaltungs-Explorer mit der rechten Maustaste auf den Ordner oder die Datei klicken. Klicken Sie auf Eigenschaften, und wählen Sie auf der Registerkarte Sicherheit den Benutzer oder die Gruppe aus, für den bzw. die Berechtigungen geändert werden sollen. Bearbeiten Sie anschließend die unter Berechtigungen aufgelisteten Berechtigungen. Sie können diese Berechtigungen festlegen, indem Sie das Befehlszeilendienstprogramm tf für die Quellcodeverwaltung verwenden.
| Berechtigungsname | Name in der Befehlszeile | Beschreibung |
|---|---|---|
Lesen |
tf: Read |
Benutzer mit dieser Berechtigung können den Inhalt einer Datei oder eines Ordners lesen. Benutzer mit Lese-Berechtigungen für einen Ordner können den Inhalt des Ordners und die Eigenschaften der darin enthaltenen Dateien anzeigen. Dies ist auch dann der Fall, wenn der Benutzer nicht über die Berechtigungen zum Öffnen dieser Dateien verfügt. |
Auschecken |
tf: PendChange |
Benutzer mit dieser Berechtigung können Elemente in einem Ordner auschecken und ausstehende Änderungen an den Elementen in einem Ordner vornehmen. Beispiele für ausstehende Änderungen sind u. a. das Hinzufügen, Umbenennen, Löschen, Wiederherstellen, Verzweigen und das Zusammenführen einer Datei. |
Einchecken |
tf: Checkin |
Benutzer mit dieser Berechtigung können Elemente einchecken und alle übernommenen Differenzmengenkommentare überarbeiten. Ausstehende Änderungen werden beim Einchecken übernommen. |
Bezeichnung |
tf: Label |
Benutzer mit dieser Berechtigung können Elemente beschriften. |
Sperren |
tf: Lock |
Benutzer mit dieser Berechtigung können Ordner oder Dateien sperren und entsperren. |
Änderungen anderer Benutzer überarbeiten |
tf: ReviseOther |
Benutzer mit dieser Berechtigung können die Kommentare zu eingecheckten Dateien bearbeiten. Dies ist auch dann möglich, wenn ein anderer Benutzer die Datei eingecheckt hat. |
Änderungen anderer Benutzer entsperren |
tf: UnlockOther |
Benutzer mit dieser Berechtigung können von anderen Benutzern gesperrte Dateien entsperren. |
Änderungen anderer Benutzer rückgängig machen |
tf: UndoOther |
Benutzer mit dieser Berechtigung können eine von einem anderen Benutzer vorgenommene ausstehende Änderung rückgängig machen. |
Bezeichnungen verwalten |
tf: LabelOther |
Benutzer mit dieser Berechtigung können von einem anderen Benutzer erstellte Bezeichnungen bearbeiten oder löschen. |
Sicherheitseinstellungen ändern |
tf: AdminProjRights |
Benutzer mit dieser Berechtigung können für diese Dateien und Ordner Berechtigungen festlegen. |
Änderungen anderer Benutzer einchecken |
tf: CheckinOther |
Benutzer mit dieser Berechtigung können von anderen Benutzern vorgenommene Änderungen einchecken. Beim Einchecken werden ausstehende Änderungen übernommen. |
Siehe auch
Konzepte
Team Foundation Server: Standardgruppen, Berechtigungen und Rollen
Verwalten von Team Foundation-Arbeitsaufgaben
Weitere Ressourcen
Befehle des Befehlszeilendienstprogramms "TFSSecurity"
Team Foundation-Quellcodeverwaltung: Befehlszeilenreferenz
Verwalten von Benutzern und Gruppen
Verwalten von Berechtigungen