Erforderliche Berechtigungen für die Verwaltung der Secure Store Service-App

Zusammenfassung

Erforderliche Berechtigungen zum Verwalten der Secure Store Service-Anwendung

Wenn die folgenden Bedingungen erfüllt sind, muss ein Benutzer explizit zur Secure Store Service-Anwendung (unter Manager) hinzugefügt werden, um die Secure Store-Dienstanwendung verwalten zu können:

• Wenn die Konten, die als Anwendungspoolidentität des sicheren Speichers und als Anwendungspoolidentität der Zentraladministration verwendet werden, nicht dasselbe Konto sind. Dies ist das Szenario mit den meisten eingeschränkten Berechtigungen.
• Wenn das Konto nicht direkt der Gruppe "Lokale Administratoren" des Zentraladministrationsservers hinzugefügt wird.

Weiteres Szenario:

• Wenn das Konto der Gruppe "Lokale Administratoren" des Zentraladministrationsservers als Teil einer Active Directory-Gruppe hinzugefügt wird, aber der SharePoint-Dienst "Ansprüche an den Windows-Tokendienst" für die Farm nicht aktiviert ist. Standardmäßig können Mitglieder der Gruppe Lokale Administratoren auf dem Zentraladministrationsserver den Secure Store Service verwalten. Das Hinzufügen einer Active Directory-Gruppe zur Gruppe "Lokale Administratoren" funktioniert jedoch nur, wenn der SharePoint-Dienst "Ansprüche an den Windows-Tokendienst" aktiviert ist.

Wenn die Konten, die als Identität des Secure Store-Anwendungspools und als Identität des Anwendungspools der Zentraladministration verwendet werden, nicht dasselbe Konto sind, sind möglicherweise explizite Berechtigungen zum Verwalten des sicheren Speichers erforderlich.

Weitere Informationen

Benutzer, die der Gruppe Farmadministratoren in der SharePoint-Zentraladministration hinzugefügt werden, können auf die SharePoint-Zentraladministration zugreifen. Wenn sie jedoch in der Secure Store Service-Anwendung Verwalten auswählen, wird möglicherweise die Fehlermeldung Access is Denied (Zugriff verweigert) angezeigt. Dieses Problem tritt in den folgenden Szenarien auf.

Szenario 1

Wenn der Benutzer der Gruppe "Lokale Administratoren" des Zentraladministrationsservers als Teil einer Active Directory-Domänengruppe hinzugefügt wird, der SharePoint-Dienst "Ansprüche an den Windows-Tokendienst" jedoch deaktiviert ist, kann SharePoint nicht überprüfen, ob der aktuelle Benutzer Mitglied der Gruppe "Lokale Administratoren" ist. Und ohne diese Überprüfung kann dem Mitglied kein Zugriff gewährt werden.

Szenario 2

Obwohl der Benutzer explizit in der Gruppe Farmadministratoren der Zentraladministration aufgeführt ist, kann das Konto nach dem Anwenden des kumulativen Updates für SharePoint 2010 vom August 2013 den Secure Store nicht ohne zusätzliche Berechtigungen verwalten.

Benötigen Sie weitere Hilfe? Navigieren Sie zu SharePoint-Community.