Team Foundation Server 使用權限

透過了解和設定指派給該部署中使用者和群組的使用權限，可以控制 Visual Studio Team Foundation Server (TFS) 部署中 Team 專案和 Team 專案集合的存取權。 Team Foundation Server 包含幾個可協助您檢視和管理權限的公用程式。 對於個別使用者及群組，請遵循View or change your permissions or join another team中的程序使用 Team Web Access，或者遵循變更群組或使用者的使用權限中的程序使用 Team Explorer。 您也可以使用這些工具拒絕使用者存取 Team 專案。 如需詳細資訊，請參閱Restricting access to projects in the deployment。

注意事項
本主題不討論 SharePoint 產品或 SQL Server Reporting Services 的使用權限。本主題只會討論 TFS 中設定的那些使用權限。如需如何為 TFS 的使用者設定 Reporting Services 及 SharePoint 產品 中之使用權限的詳細資訊，請參閱將使用者加入至 Team 專案、設定 Team 專案集合的系統管理員權限和設定 Team Foundation Server 的系統管理員權限。

本主題內容

• 使用權限的新功能

• 預設權限群組概觀

• 使用權限狀態

  • 拒絕

  • 允許

  • 未設定

• 繼承

• 設定使用權限

  • 伺服器層級的使用權限

  • 集合層級使用權限

  • 專案層級使用權限

  • 組建層級使用權限

  • 工作項目查詢使用權限

  • 工作項目追蹤的區域層級使用權限

  • 工作項目追蹤的反覆項目層級使用權限

  • 版本控制使用權限

  • Lab Management 使用權限

使用權限的新功能

在這個版本 Team Foundation Server 中，使用權限的管理介面主要移到 Team Web Access 中。 您可以在管理內容中開啟 Team Web Access 和檢視以及管理使用權限除了伺服器層級之外的各層級。 此外，您將滑鼠游標停留在該使用權限，再選取 [為何?] 選項，就可以檢視個別使用權限為何及如何設定給使用者或群組使用的相關資訊。

本次發行的 Team Foundation Server 也會在您建立 Team 專案時建立預設 Team 群組。 雖然 Team 群組本身沒有可手動設定的權限，但使用者要使用 Team Web Access 中的小組功能就必須具有這個群組的成員資格。 此外，這個預設 Team 群組會自動加入至專案的 [Contributors] 預設群組。 除非您進行修改，否則您加入至小組的任何使用者都會具備歸屬於 [Contributors] 群組的所有權限。

Team Web Access 具有用來顯示可供使用者使用之功能的新控制項，而 Team Web Access 之存取群組中的成員資格會控制使用者是否可以看到和使用這些控制項 您可以設定使用者和群組的存取層級，也可以設定整個 TFS 部署的預設層級。 如需詳細資訊，請參閱存取 Team Web Access 中的功能。

預設權限群組概觀

使用權限決定了使用者動作 (如管理工作區和建立專案) 的授權。 當您在 TFS 中建立專案時，不論您選擇哪一個流程範本，都會為該專案建立五個預設群組。 根據預設，每一個預設群組都會定義一組使用權限，用來管理這些群組的成員授權可以執行的動作。

• Project Administrators

• Contributors

• Readers

• 組建系統管理員

• 預設 Team 群組是 Team 附加專案的名稱。 例如，如果您建立名為「程式碼範例」的 Team 專案，則小組的群組名稱會是「程式碼範例小組」。

除了針對每個 Team 專案建立的預設群組之外，當您在建立 Team 專案集合時，不論您選擇的流程範本為何，還會針對該集合建立七個預設群組。 這些群組也都各有一組為其定義的使用權限。

• Project Collection Administrators

• Project Collection Service Accounts

• Project Collection Build Administrators

• Project Collection Build Service Accounts

• Project Collection Valid Users

• Project Collection Proxy Service Accounts

• Project Collection Test Service Accounts

當您安裝 Team Foundation Server 時，會在伺服器層級上建立四個預設群組。 這些群組也都各有一組為其定義的使用權限。

• Team Foundation Administrators

• Team Foundation Service Accounts

• Team Foundation Valid Users

• SharePoint Web Application Services

若要有效率地管理這些預設群組中的使用者成員資格，以及建立自訂群組，則系統管理員必須先了解使用權限的意義以及明確設定使用權限的安全性含意。 如需哪些使用權限預設會指派給每個群組的詳細資訊，請參閱 Team Foundation Server 預設群組、使用權限和角色。

使用權限狀態

您可以為 Team Foundation Server 中的使用權限指定兩種明確授權狀態：[拒絕] 和 [允許]。 另外還有一種隱含授權，不會將使用權限設為 [允許]，也不會將使用權限設為 [拒絕]。 這種授權是隱含的 [拒絕] 狀態，稱為「未設定」。

拒絕

[拒絕] 即拒絕授權，讓使用者或群組執行在使用權限描述中所指定的動作。 [拒絕] 是 TFS 中最強大的使用權限狀態。 如果使用者屬於 TFS 群組，而且這個群組已將特定使用權限設為 [拒絕]，則就算使用者所屬的另一個群組已將該使用權限設為 [允許]，這個使用者還是無法執行該項功能。 這項規則唯一的例外是在使用者為 Team 專案集合的 [Project Collection Administrators] 群組成員或 [Team Foundation Administrators] 群組成員時，除非權限描述另有說明。 根據預設，如果使用者是系統管理員群組的成員，則該群組的使用權限會覆寫該使用者在 Team Foundation Server 中的明確拒絕。 如果權限設定會覆寫預設系統管理權限，則下表中的權限描述會註明該覆寫。

允許

[允許] 即同意授權，讓使用者或群組執行在使用權限描述中所指定的動作。 在 TFS 中，[允許] 是第二強大的使用權限狀態，設定的次數最為頻繁，而且是同時透過明確的方式和對 [繼承允許] 的繼承來設定。 如果您沒有將使用權限明確設定為 [允許]，或是預設群組中的成員資格沒有將使用權限設定為 [允許繼承]，則使用者或群組無法在 Team Foundation Server 中法執行該動作。

未設定

TFS 中的大多數使用權限預設都不會設定為 [拒絕] 或 [允許]。 使用權限會保留為 「尚未設定」，其隱含意義就是拒絕授權讓使用者和群組執行在使用權限描述中所指定的動作。 但是，因為使用權限未明確設為 [拒絕]，也未明確設為 [允許]，所以還是可以從使用者或群組所屬的其他群組中繼承該使用權限的授權。

繼承

當使用者或群組的使用權限狀態為 [未設定] 時，由於 TFS 中的使用權限是繼承而來的，因此使用者或群組可能會受到所屬群組之使用權限的明確狀態影響。 例如，當您檢閱使用者或群組的使用權限時，您可能會看到權限設為 [授權]和 [允許繼承] 。 後者的使用權限是從其它使用者或群組所屬的群組所繼承。 在此範例中，使用者可能屬於專案層級的群組和屬於專案的集合層級。 如果其中一個群組具有明確設為 [允許] 的使用權限，而另一個群組擁有 [未設定] 使用權限，則使用者將擁有允許繼承使用權限可以執行該使用權限所控制的動作。 使用者會繼承這兩個群組的使用權限，而 [允許] 使用權限的優先順序高 [於未設定] 使用權限。

若要了解使用權限為何繼承，您可以將滑鼠游標停留於使用權限設定，然後選取 [為什麼?]。 隨即開啟新視窗，顯示該使用權限的繼承資訊。

注意事項
在 TFS 中，不會繼承在 TFS 外部 (例如在 SharePoint 產品 中) 設定的使用權限。這不在本主題的討論範圍。

某些授權設定會優先於其他的授權設定。 在 TFS 中，[拒絕] 使用權限的優先順序高於該明確結構的其他所有使用權限設定 (包括 [允許])。 [拒絕] 使用權限若繼承自階層式父代 (例如在版本控制中)，則沒有優先權。 例如，使用者可能屬於專案中的兩個群組。 其中一個群組的 [發行測試結果] 使用權限是設為 [拒絕]，而另一個群組的這項使用權限則是設為 [允許]。 [拒絕] 設定的優先順序最高，因此不會授權使用者發行測試結果。 這項規則唯一的例外狀況是明確 [拒絕] 繼承自階層式父代或使用者是下列其中一個群組的成員時：

• Project Administrators

• Project Collection Administrators

• Team Foundation Administrators

在階層式結構 (例如版本控制和工作項目追蹤) 中，特定物件上設定的明確使用權限會覆寫繼承自父物件的使用權限。

設定使用權限

您可能想要對 TFS 設定的許多使用權限是透過 Team Web Access 使用者介面來控制，而您可以直接透過 Team Web Access，或是從 Team Explorer 中開啟這個使用者介面。 您可以依據集合 (集合層級使用權限) 或專案 (專案層級使用權限) 來設定這些使用權限，或者依據小組將使用者加入小組群組。 (小組層級的使用權限在小組成員資格中是隱含的及不可直接設定。)您還可以設定區域層級和反覆項目層級使用權限，以便對各個專案中的工作項目進行檢視與互動。 如需如何為使用者和群組設定使用權限的詳細資訊，請參閱小組使用者入門和將使用者加入至 Team 專案。

若要根據伺服器設定使用權限(伺服器層級使用權限)，您不能使用 Team Web Access。 您必須使用Team Foundation Server中的管理主控台設定伺服器層級使用權限。

伺服器層級的使用權限

伺服器層級使用權限不是單一 Team 專案或 Team 專案集合專有， 而是依據整個部署而設定，並且授與它們可以影響部署中每個專案和集合的使用權限。

您只能針對兩種類別的使用者設定這些使用權限：

• 伺服器層級使用者和群組 (例如 Team Foundation Administrators)

• 您所建立並加入至伺服器層級的自訂群組

您可以開啟 Team Foundation 的管理主控台，來設定這些使用權限。 您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。 如需詳細資訊，請參閱使用 Team Foundation 管理主控台設定您的伺服器與使用 TFSSecurity 變更群組和權限。

下表列出每個伺服器層級使用權限，並提供其用途的簡短說明。

使用權限名稱	命令列中的名稱	描述
管理倉儲	ADMINISTER_WAREHOUSE	具有這個使用權限的使用者可以使用 WarehouseController.asmx Web 服務的 ChangeSetting Web 方法來變更倉儲設定。 例如，您可以允許使用者設定計算 OLAP Cube 的更新間隔時間。
建立 Team 專案集合	CreateCollection	具有這個使用權限的使用者可以建立和管理 Team Foundation Server 中的 Team 專案集合。
刪除 Team 專案集合	DeleteCollection	具有這個使用權限的使用者可以刪除部署中的 Team 專案集合。 注意事項 刪除 Team 專案集合，並不會從 SQL Server 中刪除集合的資料庫。
編輯執行個體層級資訊	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	具有這個使用權限的使用者可以編輯 Team Foundation Server 中使用者和群組的伺服器層級使用權限。 他們可以在集合中加入或移除伺服器層級應用程式群組。 透過功能表設定時，[編輯執行個體層級資訊] 使用權限也會隱含地允許使用者修改版本控制使用權限。 若要在命令提示字元授與上述所有使用權限，您必須使用 tf.exe Permission 命令來授與 AdminConfiguration 和 AdminConnections 使用權限以及 GENERIC_WRITE。 注意：您無法移除預設伺服器層級群組，例如 Team Foundation Administrators。
代表其他人提出要求	Impersonate	具有這個使用權限的使用者可以代表其他使用者或服務執行作業。 這個使用權限應該只指派給服務帳戶。
觸發事件	TRIGGER_EVENT	具有這個使用權限的使用者可以在 Team Foundation Server 內觸發警示事件。 這個使用權限只應該指派給服務帳戶和 [Team Foundation Administrators] 群組的成員。
使用完整 Web 存取功能	FullAccess	擁有這個使用權限的使用者可以使用 Team Web Access 的所有功能。 如果這個使用權限設定為 [拒絕]，則使用者只會看見那些在 Team Web Access 中允許 [有限] 群組使用的功能 (請參閱存取 Team Web Access 中的功能)。 「拒絕」將會覆寫任何隱含允許，甚至對於屬於管理群組 (例如 Team Foundation Administrators) 成員的帳戶也是如此。
檢視執行個體層級資訊	GENERIC_READ	具有這個使用權限的使用者可以檢視伺服器層級的群組成員資格以及這些使用者的使用權限。

集合層級使用權限

集合層級使用權限並不是單一專案特有的， 而是針對整個集合所設定。 您只能針對三種使用者設定這些使用權限：

• 集合層級使用者和群組 (例如 Project Collection Administrators)

• 執行 Team Foundation 的伺服器上已加入至集合層級的專案層級群組

• 您所建立並加入至集合層級的自訂群組

您可以透過選取 [小組] 功能表中選擇 [Team專案集合設定]，然後選取 [安全性]，或在管理模式開啟Team Web Access，巡覽至集合層級，然後選取 [安全性] 索引標籤選取 Team Explorer 的集合設定這些使用權限。 您也可以使用 TFSSecurity 命令列工具來設定這些使用權限，但不包括具有 tf: 指定的命令列工具。 針對具有 tf: 指定的工具，請使用 tf 版本控制命令列工具的 Permission 命令來設定使用權限。 如需詳細資訊，請參閱使用 TFSSecurity 變更群組和權限與Permission Command。

使用權限名稱	命令列中的名稱	描述
管理組建資源使用權限		具有這個使用權限的使用者可以管理組建資源。
管理 Project Server 整合	AdministerProjectServer	具有這個使用權限的使用者可以設定 Team Foundation Server 與 Project Server 的整合，支援同步處理兩種伺服器產品。
管理擱置的變更	tf: AdminShelvesets	具有這個使用權限的使用者可以刪除由其他使用者建立的擱置集。
管理工作區	tf: AdminWorkspaces	具有這個使用權限的使用者可以為其他使用者建立工作區，以及刪除由其他使用者建立的工作區。
修改追蹤設定	DIAGNOSTIC_TRACE	具有這個使用權限的使用者可以變更追蹤設定，以收集更詳細的 Team Foundation Server Web 服務診斷資訊。
建立工作區	tf: CreateWorkspace	具有這個使用權限的使用者可以建立版本控制工作區。
建立新專案	CREATE_PROJECTS	具有這個使用權限的使用者可以建立 Team 專案集合中的專案。 注意事項 並非只需具有這個使用權限，還必須以系統管理員身分執行 Visual Studio，才能順利完成 [建立新的 Team 專案精靈]。如需詳細資訊，請參閱建立 Team 專案。
刪除 Team 專案	刪除	具有這個使用權限的使用者可以刪除 Team 專案集合中的 Team 專案。 重要事項 刪除 Team 專案，會刪除與專案相關聯的所有資料。您除了將集合還原至刪除專案之前的位置以外，無法復原 Team 專案的刪除作業。
編輯集合層級資訊	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	具有這個使用權限的使用者可以編輯 Team 專案集合中使用者和群組的集合層級使用權限。 他們可以在集合中加入或移除集合層級 Team Foundation Server 應用程式群組。 透過功能表設定時，[編輯集合層級資訊] 使用權限也會隱含地允許使用者修改版本控制使用權限。 若要在命令提示字元授與上述所有使用權限，您必須使用 tf.exe Permission 命令來授與 AdminConfiguration 和 AdminConnections 使用權限以及 GENERIC_WRITE。 注意事項 您無法移除預設集合層級群組 (例如 Project Collection Administrators)。
代表其他人提出要求	Impersonate	具有這個使用權限的使用者可以代表其他使用者或服務執行作業。 這個使用權限應該只指派給服務帳戶。
管理組建資源	ManageBuildResources	具有這個使用權限的使用者可以管理 Team 專案集合的組建電腦、組建代理程式和組建控制器。 這些使用者也可以授與或拒絕其他使用者的 [檢視組建資源] 和 [使用組建資源] 使用權限。
管理流程範本	MANAGE_TEMPLATE	具有這個使用權限的使用者可以對 Team 專案集合下載、建立、編輯和上載流程範本。
管理測試控制器	MANAGE_TEST_CONTROLLERS	具有這個使用權限的使用者可以註冊和取消註冊 Team 專案集合的測試控制器。
管理工作項目連結類型	WORK_ITEM_WRITE	具有這個使用權限的使用者可以加入、移除和變更工作項目的連結類型。
觸發事件	TRIGGER_EVENT	具有這個使用權限的使用者可以觸發 Team 專案集合內的專案警示事件。 這個使用權限應該只指派給服務帳戶。
使用組建資源	UseBuildResources	具有這個使用權限的使用者可以保留以及配置組建代理程式。 這個使用權限應該只指派給組建服務的服務帳戶。
檢視組建資源	ViewBuildResources	具有這個使用權限的使用者可以檢視針對集合設定的組建控制器和組建代理程式。 若要使用這些資源，您需要其他的使用權限。
檢視集合層級資訊	GENERIC_READ	具有這個使用權限的使用者可以檢視集合層級群組成員資格以及這些使用者的使用權限。
檢視系統同步處理資訊	SYNCHRONIZE_READ	具有這個使用權限的使用者可以呼叫同步處理應用程式開發介面。 這個使用權限應該只指派給服務帳戶。

專案層級使用權限

專案層級的使用權限是針對單一專案的使用者和群組所設定的。 您可以透過選取 [設定]，然後選取 [安全性]，或在管理模式開啟Team Web Access，巡覽至專案，然後選取 [安全性] 索引標籤選取 Team Explorer 的專案設定這些使用權限。 您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

組建層級使用權限

組建 (Build) 層級的使用權限是針對單一專案的使用者和群組所設定的。 您可以在 Team 專案層級設定組建使用權限，也可以設定特定組建定義的使用權限。 開啟 Team Explorer中的專案，選擇 [組建]，然後在 [動作] 底下選擇 [安全性]，就可以設定這些使用權限。 選擇組建定義，然後選擇 [安全性]，就可以將使用權限套用至特定組建定義。 如果您想要將使用權限套用至組建資料夾，請選取該資料夾，並按一下子功能表的 [安全性]。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

工作項目查詢使用權限

工作項目查詢權限是您所建立的查詢和查詢資料夾特有的權限。 您可以設定在 [小組查詢] 底下建立之查詢和資料夾的使用權限，以啟用或限制存取。 您可以選取 Team Explorer 的專案設定這些使用權限，開啟 [工作項目]，開啟您要設定其使用權限的查詢或資料夾的子功能表，然後選取 [安全性]。 您也可以在 Team Web Access 中的查詢上設定這些使用權限。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

工作項目追蹤的區域層級使用權限

區域層級的使用權限是針對單一專案的使用者和群組所設定的。 您可以透過選取 [設定]、選擇 [工作項目區域]、選取向下箭頭，然後選取 [安全性]，或在管理內容開啟Team Web Access，巡覽至專案層級，然後選取 [區域 ] 索引標籤、選取向下箭頭，然後選取 [安全性] 索引標籤選取 Team Explorer 的專案設定這些使用權限。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

注意事項
某些工作項目追蹤作業需要多項使用權限。例如，您需要有多項使用權限才能刪除節點。

工作項目追蹤的反覆項目層級使用權限

反覆項目層級使用權限是專為單一專案的使用者和群組所設定。 您可以透過選取 [設定]、選擇 [工作項目反覆項目]、選取向下箭頭，然後選取 [安全性]，或在管理內容開啟Team Web Access，巡覽至專案層級，然後選取 [反覆項目] 索引標籤、選取向下箭頭，然後選取 [安全性] 索引標籤選取 Team Explorer 的專案設定這些使用權限。 此外，您也可以使用 TFSSecurity 命令列工具來設定這些使用權限。

注意事項
某些工作項目追蹤作業需要多項使用權限。例如，您需要有多項使用權限才能刪除節點。

版本控制使用權限

版本控制使用權限是針對原始程式碼檔案和資料夾所設定。 開啟 [原始檔控制總管] 中資料夾或檔案的子功能表，然後選取 [安全性]，就可以設定這些使用權限。 您也可以使用 tf 版本控制命令列工具，來設定這些使用權限。

Lab Management 使用權限

Visual Studio Lab Management 使用權限是虛擬機器、環境和其他資源特有的。 您可以使用 TFSLabConfig 命令列工具來設定這些使用權限。

請參閱

工作

開啟 Team Foundation 管理主控台

概念

小組使用者入門

設定使用者、群組和使用權限

使用 TFSLabConfig 設定 Lab Management

定義測試計劃

其他資源

從準備到執行單一伺服器安裝 [教學課程]

使用 TFSSecurity 變更群組和權限

Team Foundation 版本控制命令列參考

管理使用權限

使用 TFSSecurity 變更群組和權限