Permisos de Team Foundation Server

Puede controlar el acceso a los proyectos de equipo y colecciones de proyectos de equipo en su implementación de Visual Studio Team Foundation Server si conoce y configura los permisos asignados a los usuarios y grupos de esa implementación.

Los permisos determinan la autorización para las acciones del usuario, como la administración del área de trabajo y la creación de proyectos. Cuando crea un proyecto en Team Foundation Server, se generan cuatro grupos predeterminados para ese proyecto independientemente de su elección de plantilla de proceso. De forma predeterminada, cada uno de estos grupos tiene un conjunto de permisos definidos que rigen lo que pueden hacer los integrantes de esos grupos.

• Project Administrators

• Contributors

• Readers

• Builders

Además de los grupos predeterminados que se crean para cada proyecto de equipo, al crear una colección de proyectos de equipo, se crean siete grupos predeterminados para esa colección sin tener en cuenta la elección de plantilla de procesos. Cada uno de esos grupos también tiene un conjunto de permisos definidos.

• Project Collection Administrators

• Project Collection Service Accounts

• Project Collection Build Administrators

• Project Collection Build Service Accounts

• Project Collection Valid Users

• Collection Proxy Service Accounts

• Project Collection Test Service Accounts

Cuando se instala Team Foundation Server, se crean cinco grupos predeterminados en el nivel de servidor. Cada uno de estos grupos tiene un conjunto de permisos definidos.

• Team Foundation Administrators

• Team Foundation Service Accounts

• Team Foundation Valid Users

• SharePoint Web Application Services

• Work Item Only View Users

Para administrar eficazmente la pertenencia de los usuarios en estos grupos predeterminados y para crear grupos personalizados, los administradores primero deben comprender el significado de los permisos y las implicaciones de seguridad de la definición explícita de permisos.

Configuración de permisos

Puede especificar dos opciones de configuración de autorización explícitas para los permisos en Team Foundation Server: Denegar y Permitir. Hay también una autorización implícita que no establece el permiso en Permitir ni en Denegar. Esta autorización es una opción Denegar implícita que se conoce como Sin establecer.

Denegar

Desautoriza al usuario o grupo a realizar las acciones definidas en la descripción del permiso. Es la configuración de permiso más eficaz en Team Foundation Server. Si un usuario pertenece a un grupo de Team Foundation Server que tiene un permiso concreto establecido en Denegar, no puede realizar esa función aunque pertenezca a otro grupo que tenga ese permiso establecido en Permitir. La única excepción a esta regla tiene lugar cuando el usuario es miembro del grupo Project Administrators de un proyecto, del grupo Project Collection Administrators de una colección de proyectos de equipo o del grupo Team Foundation Administrators. Si un usuario es miembro del grupo Project Administrators de un proyecto, los permisos de ese grupo invalidan la opción explícita Denegar para ese usuario en un proyecto. De igual modo, si un usuario es miembro del grupo Project Collection Administrators, los permisos de ese grupo invalidan la opción explícita Denegar para ese usuario en esa colección. Si un usuario es miembro del grupo Administrators de Team Foundation, los permisos de ese grupo invalidan la opción explícita Denegar para ese usuario en Team Foundation Server.

Permitir

Autoriza a un usuario o grupo a realizar las acciones definidas en la descripción del permiso. Permitir es la segunda configuración de permisos más eficaz en Team Foundation Server y se establece la mayoría de las veces. Si no establece explícitamente un permiso en Permitir, un usuario o grupo no puede realizar esa acción en Team Foundation Server.

Sin establecer

De forma predeterminada, la mayoría de los permisos de Team Foundation Server no están establecidos en Denegar o Permitir. Los permisos se dejan sin establecer, lo que implícitamente deniega a usuarios y grupos la autorización para realizar las acciones especificadas en la descripción del permiso. Sin embargo, como el permiso no está establecido explícitamente en Denegar ni en Permitir, la autorización para ese permiso se puede heredar de otros grupos de los que el usuario o grupo es miembro.

Herencia

Cuando un permiso no está establecido para un usuario o grupo, éste se puede ver afectado por la definición explícita del permiso en los grupos a los que pertenece, porque los permisos de Team Foundation Server se heredan. Por ejemplo, un usuario podría pertenecer a dos grupos personalizados en un proyecto. Si uno de esos grupos tiene un permiso que está establecido explícitamente en Denegar y el otro grupo tiene el mismo permiso sin establecer, el usuario no tendrá permiso para realizar las acciones controladas por ese permiso. El usuario hereda los permisos de ambos grupos, pero el permiso Denegar prevalece sobre el permiso no establecido.

Ciertas opciones de configuración de autorización tienen prioridad sobre otras. En Team Foundation Server, el permiso Denegar prevalece sobre todas las demás opciones de configuración de permisos, incluido Permitir, para esa estructura explícita. El permiso Denegar no tiene prioridad si se hereda de un elemento primario jerárquico, como es el caso del control de versiones. Por ejemplo, un usuario podría pertenecer a dos grupos en un proyecto. En un grupo, el permiso Publicar resultados de la prueba está establecido en Denegar; el otro grupo tiene ese permiso establecido en Permitir. La opción Denegar tiene prioridad y el usuario no está autorizado a publicar los resultados de la prueba. Las únicas excepciones a esta regla se producen cuando la configuración explícita de Denegar se hereda de un elemento primario jerárquico o el usuario es miembro de uno de los siguientes grupos:

• Project Administrators

• Project Collection Administrators

• Team Foundation Administrators

En estructuras jerárquicas, como el control de versiones y el seguimiento de elementos de trabajo, los permisos explícitos que se establecen en un objeto determinado invalidan los heredados de los objetos primarios.

Permisos establecidos a través de la interfaz de usuario y la línea de comandos de Team Foundation Server

Muchos de los permisos que puede ser conveniente establecer para Team Foundation Server se controlan a través de la interfaz de usuario de Team Foundation Server. Puede establecer estos permisos en cada servidor (permisos de nivel de servidor), en cada colección (permisos de nivel de colección) o en cada proyecto (permisos de nivel de proyecto). También puede establecer permisos de nivel de área y de nivel de iteración para ver e interactuar con elementos de trabajo en cada proyecto. Para obtener más información sobre cómo establecer permisos para usuarios y grupos, vea Configurar usuarios, grupos y permisos y Administrar permisos.

Permisos de nivel de servidor

Los permisos de nivel de servidor no son específicos de un determinado proyecto de equipo o colección de proyectos de equipo. Se establecen para toda la implementación, y conceden permisos que pueden afectar a cada proyecto y colección de dicha implementación.

Solo puede establecer estos permisos para dos categorías de usuarios:

• Usuarios y grupos de nivel de servidor, como Team Foundation Administrators

• Grupos personalizados creados y agregados al nivel del servidor

Para establecer estos permisos, abra la consola de administración de Team Foundation. También puede establecer estos permisos mediante la herramienta de línea de comandos TFSSecurity. Para obtener más información, vea Configurar el servidor mediante la consola de administración de Team Foundation y Cambiar grupos y permisos con TFSSecurity.

En la siguiente tabla se enumera cada permiso de nivel de servidor y se proporciona una breve descripción de su propósito.

Nombre del permiso	Nombre en la línea de comandos	Descripción
Crear colección de proyectos de equipo	CreateCollection	Los usuarios que tienen este permiso pueden crear y administrar colecciones de proyectos de equipo en Team Foundation Server.
Eliminar colección de proyectos de equipo	DeleteCollection	Los usuarios que tienen este permiso pueden eliminar de la implementación una colección de proyectos de equipo. Nota Al eliminar una colección de proyectos de equipo, no se eliminará de SQL Server la base de datos de la colección.
Editar información en el nivel de instancia	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Los usuarios que tienen este permiso pueden editar los permisos de nivel de servidor para los usuarios y los grupos en Team Foundation Server. Pueden agregar o quitar en la colección grupos de aplicaciones de nivel de servidor. Cuando se establece a través de los menús, el permiso Editar información en el nivel de instancia permite implícitamente al usuario modificar, además, los permisos de control de versiones. Para conceder todos estos permisos en un símbolo del sistema, debe usar el comando tf.exe Permission para conceder los permisos AdminConfiguration y AdminConnections, además de GENERIC_WRITE. Nota No se pueden quitar los grupos de nivel de servidor predeterminados, como Team Foundation Administrators.
Realizar solicitudes en nombre de otros	Suplantar	Los usuarios que tienen este permiso pueden realizar operaciones en nombre de otros usuarios o servicios. Este permiso se debería asignar sólo a las cuentas de servicio.
Desencadenar eventos	TRIGGER_EVENT	Los usuarios que tienen este permiso pueden desencadenar eventos de alerta en Team Foundation Server. Este permiso debería asignarse sólo a las cuentas de servicio y miembros del grupo Team Foundation Administrators.
Usar características de acceso total de Web Access	FullAccess	Los usuarios que tienen este permiso pueden usar todas las características de Team Web Access.
Ver información de nivel de instancia	GENERIC_READ	Los usuarios que tienen este permiso pueden ver la pertenencia a grupos en el nivel de servidor y los permisos de esos usuarios.

Permisos en el nivel de colección

Los permisos de nivel de colección no son específicos de un determinado proyecto. En su lugar, se establecen para toda la colección. Sólo puede establecer estos permisos para tres categorías de usuarios:

• Usuarios y grupos en el nivel de colección, como Project Collection Administrators

• Grupos de nivel de proyecto que se han agregado al nivel de colección en un servidor que ejecuta Team Foundation

• Grupos personalizados que se crean y agregan al nivel de colección

Para establecer estos permisos, haga clic con el botón secundario en el servidor en Team Explorer y, a continuación, haga clic en Seguridad, o establézcalos en la consola de administración de Team Foundation. También puede establecer estos permisos mediante la herramienta de línea de comandos TFSSecurity, excepto en aquellas con la designación tf:. En el caso de las herramientas con la designación tf:, use el comando Permission de la utilidad de línea de comandos tf del control de versiones para establecer los permisos. Para obtener más información, vea Grupos de nivel de colección, Cambiar grupos y permisos con TFSSecurity y Permission (Comando).

Nombre del permiso	Nombre en la línea de comandos	Descripción
Administrar cambios aplazados	tf: AdminShelvesets	Los usuarios que tienen este permiso pueden eliminar conjuntos de cambios aplazados creados por otros usuarios.
Administrar almacén de datos	ADMINISTER_WAREHOUSE	Los usuarios que tienen este permiso pueden cambiar la configuración del almacén de datos mediante el método Web ChangeSetting del servicio Web WarehouseController.asmx. Por ejemplo, podría permitir que los usuarios establezcan el intervalo de actualización para calcular cubos OLAP.
Administrar áreas de trabajo	tf: AdminWorkspaces	Los usuarios que tienen este permiso pueden crear áreas de trabajo para otros usuarios y eliminar áreas de trabajo creadas por otros usuarios.
Modificar la configuración de seguimiento	DIAGNOSTIC_TRACE	Los usuarios que tienen este permiso pueden cambiar la configuración de seguimiento para recopilar información de diagnóstico más detallada sobre los servicios Web de Team Foundation Server.
Crear un área de trabajo	tf: CreateWorkspace	Los usuarios que tienen este permiso pueden crear un área de trabajo de control de versiones.
Crear nuevos proyectos	CREATE_PROJECTS	Los usuarios que tienen este permiso pueden crear proyectos en la colección de proyectos de equipo. Nota No solo debe tener este permiso sino también ejecutar Visual Studio como administrador para completar correctamente el Asistente para nuevo proyecto de equipo.Para obtener más información, vea Crear un proyecto de equipo.
Eliminar proyecto de equipo	Eliminar	Los usuarios que tienen este permiso pueden eliminar proyectos de equipo en la colección de proyectos de equipo. Importante Al eliminar un proyecto de equipo, se eliminarán todos los datos que estén asociados al proyecto.No puede deshacer la eliminación de un proyecto de equipo, salvo que restaure la colección a un punto anterior a la eliminación del proyecto.
Eliminar colección de proyectos de equipo	DeleteCollection	Los usuarios que tienen este permiso pueden quitar una colección de proyectos de equipo.
Editar información en el nivel de colección	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	Los usuarios que tienen este permiso pueden editar los permisos de nivel de colección para los usuarios y grupos de la colección de proyectos de equipo. Pueden agregar o quitar en la colección grupos de aplicaciones de Team Foundation Server en el nivel de colección. Cuando se establece a través de los menús, el permiso Editar información en el nivel de colección permite implícitamente al usuario modificar, además, los permisos de control de versiones. Para conceder todos estos permisos en un símbolo del sistema, debe usar el comando tf.exe Permission para conceder los permisos AdminConfiguration y AdminConnections, además de GENERIC_WRITE. Nota No se pueden quitar los grupos de nivel de colección predeterminados, como Project Collection Administrators.
Realizar solicitudes en nombre de otros	Suplantar	Los usuarios que tienen este permiso pueden realizar operaciones en nombre de otros usuarios o servicios. Este permiso se debería asignar sólo a las cuentas de servicio.
Administrar recursos de compilación	ManageBuildResources	Los usuarios que tienen este permiso pueden administrar los equipos de compilación, agentes de compilación y controladores de compilación para la colección de proyectos de equipo. Estos usuarios también pueden conceder o denegar los permisos Ver recursos de compilación y Usar recursos de compilación para otros usuarios.
Administrar plantilla de procesos	MANAGE_TEMPLATE	Los usuarios que tienen este permiso pueden descargar, crear, editar y cargar plantillas de procesos en la colección de proyectos de equipo.
Administrar controladores de pruebas	MANAGE_TEST_CONTROLLERS	Los usuarios que tienen este permiso pueden registrar y eliminar del registro controladores de pruebas para la colección de proyectos de equipo.
Administrar tipos de vínculo de los elementos de trabajo	WORK_ITEM_WRITE	Los usuarios que tienen este permiso pueden agregar, quitar y cambiar los tipos de vínculo de los elementos de trabajo.
Desencadenar eventos	TRIGGER_EVENT	Los usuarios que tienen este permiso pueden desencadenar eventos de alerta de proyecto en la colección de proyectos de equipo. Este permiso se debería asignar sólo a las cuentas de servicio.
Usar recursos de compilación	UseBuildResources	Los usuarios que tienen este permiso pueden reservar y asignar agentes de compilación. Este permiso debería asignarse únicamente a cuentas de servicio de servicios de compilación.
Ver recursos de compilación	ViewBuildResources	Los usuarios que tienen este permiso pueden ver los controladores de compilación y agentes de compilación configurados para la colección. Para usar esos recursos, se necesitan permisos adicionales.
Editar información de nivel de colección	GENERIC_READ	Los usuarios que tienen este permiso pueden ver la pertenencia a grupo en el nivel de colección y los permisos de esos usuarios.
Ver información de sincronización del sistema	SYNCHRONIZE_READ	Los usuarios que tienen este permiso pueden llamar a las interfaces de programación de aplicaciones de sincronización. Este permiso se debería asignar sólo a las cuentas de servicio.
Ver ejecuciones de pruebas	VIEW_TEST_RESULTS	Los usuarios que tienen este permiso pueden ver los planes de pruebas de este nodo.

Permisos de nivel de proyecto

Los permisos de nivel de proyecto son específicos de los usuarios y grupos de un solo proyecto. Para establecer estos permisos en Team Foundation Server, haga clic con el botón secundario del mouse en el proyecto de Team Explorer, haga clic en Configuración del proyecto de equipo y, a continuación, haga clic en Seguridad. También puede establecer estos permisos mediante la herramienta de línea de comandos TFSSecurity.

Permisos de nivel de compilación

Los permisos de nivel de compilación son específicos de los usuarios y grupos de un proyecto único. Puede establecer los permisos de compilación en el nivel del proyecto de equipo, y también puede establecer permisos para definiciones de compilación concretas. Para establecer estos permisos, abra el proyecto en Team Explorer, haga clic con el botón secundario en Compilaciones y, a continuación, haga clic en Seguridad. Si desea aplicar los permisos a una definición de compilación concreta, haga clic con el botón secundario en la definición de compilación y, a continuación, haga clic en Seguridad. Si desea aplicar los permisos a una carpeta de compilación, haga clic con el botón secundario en esa carpeta y haga clic en Seguridad. Además, puede establecer estos permisos con la herramienta de línea de comandos TFSSecurity.

Permisos en el nivel de área para el seguimiento de los elementos de trabajo

Los permisos de nivel de área son específicos de los usuarios y grupos de un proyecto único. Para establecer estos permisos, haga clic con el botón secundario del mouse en el proyecto en Team Explorer, haga clic en Áreas e iteraciones y, en la ficha Área, haga clic en Seguridad. Además, puede establecer estos permisos con la herramienta de línea de comandos TFSSecurity.

Permisos en el nivel de iteración para el seguimiento de los elementos de trabajo

Los permisos de nivel de iteración son específicos de los usuarios y grupos de un solo proyecto. Para establecer estos permisos, haga clic con el botón secundario del mouse en el proyecto en Team Explorer, haga clic en Áreas e iteraciones y, en la ficha Iteraciones, haga clic en Seguridad. Además, puede establecer estos permisos con la herramienta de línea de comandos TFSSecurity.

Permisos para el control de versiones

Los permisos del control de versiones son específicos de los archivos y carpetas de código fuente. Para establecer estos permisos, haga clic con el botón secundario en la carpeta o archivo en el Explorador de control de código fuente, y haga clic en Propiedades y en la pestaña Seguridad. En esa pestaña, puede hacer clic en el usuario o grupo cuyos permisos desea cambiar y, a continuación, editar los permisos enumerados en Permisos. También puede establecer estos permisos con la herramienta de línea de comandos tf para control de versiones.

Permisos de Lab Management

Los permisos de Visual Studio Lab Management son específicos de las máquinas virtuales, los entornos y otros recursos. Puede establecer estos permisos mediante la herramienta de línea de comandos TFSLabConfig.

Vea también

Tareas

Abrir la Consola de administración de Team Foundation

Referencia

Permission (Comando)

Conceptos

Configurar usuarios, grupos y permisos

Grupos de nivel de servidor

Configurar Lab Management con TFSLabConfig

Definir el trabajo de pruebas mediante los planes de prueba

Otros recursos

Cambiar grupos y permisos con TFSSecurity

Referencia de la línea de comandos del control de versiones de Team Foundation

Administrar permisos

Grupos de nivel de colección

Grupos de nivel de proyecto

Cambiar grupos y permisos con TFSSecurity

Historial de cambios