Asignar permisos para la integración de TFS y Project Server
La asignación de permisos es el primer paso en la configuración de Team Foundation Server y Project Server para permitir la sincronización de datos. Debe conceder permisos a varias cuentas: administradores, cuentas de servicio y miembros del equipo. También debe asegurarse de que esas cuentas de servicio concretas tienen acceso como Proveedor de servicios compartidos (SSP) en el servidor que hospeda Productos de SharePoint para Project Server.
Debe conceder permisos después de instalar las Extensiones de Team Foundation Server para Project Server. Para obtener más información, vea Requisitos del sistema y de instalación para la integración de TFS y Project Server.
Antes de empezar
Antes de comenzar, le interesará saber qué instancias de PWA y colecciones de proyectos de equipo de TFS participarán en la sincronización de datos. También deseará conocer las respuestas de las siguientes preguntas.
¿Tiene todos los permisos que necesita para asignar permisos?
Asegúrese de que pertenece a los grupos siguientes:
Grupo Administradores de Team Foundation, necesario para conceder permisos de TFS. También debe tener acceso a la Consola de administración de Team Foundation. Set administrator permissions for Team Foundation Server.
Administrador de Project Web App para cada instancia de Project Web Access o Project Web App (PWA), necesario para conceder los permisos de Project Server. También debe tener acceso a Project Server a través de PWA.
Grupo de seguridad Administradores de las bases de datos de SQL Server para Project Server, necesario para conceder permisos a las bases de datos de Informes y Publicación de PWA.
Grupo Administradores de la granja de servidores, el grupo de administradores de la aplicación web que admite Project Server, o el grupo Administración de SharePoint, necesario para conceder permisos de SSP. La pertenencia a grupos dependerá de la arquitectura de seguridad de la implementación.
Administrador en el equipo local, necesario para usar stsadm.exe.
¿Está el modo de autenticación configurado correctamente para la versión de Project Server?
Para Project Server 2010:
La aplicación web de SharePoint para la instancia de PWA debe establecerse en Autenticación de modo clásico. La autenticación de modo clásico utiliza la autenticación de Windows. SharePoint Server 2010 trata las cuentas de usuario como cuentas de Servicios de dominio de Active Directory (AD DS).
No podrá registrar el PWA si la autenticación se establece en Autenticación basada en notificaciones. Si no está seguro de qué modo de autenticación está establecido o si necesita cambiar los modos de autenticación, vaya a esta sección.
Para Project Server 2013:
Se admiten dos permisos: modo de permisos de SharePoint y modo de permisos de Project. Ambos modos utilizan la autorización basada en notificaciones. Los permisos que debe asignar varían en función del modo de permisos que se establece.
El modo de permisos de SharePoint crea grupos de SharePoint que corresponden directamente a los grupos de seguridad predeterminados que se encuentran en el modo de permisos de Project Server. Estos grupos se usan para conceder a los usuarios distintos niveles de acceso a los proyectos y a la funcionalidad de Project Server. El modo de permisos de SharePoint es nuevo en Project Server 2013.
Las instancias nuevas de Project Web App utilizan el modo de permisos de SharePoint de forma predeterminada. En una instalación local, se puede cambiar el modo de una instancia determinada de Project Web App mediante el uso del cmdlet Set-SPProjectPermissionModeWindows de PowerShell.
El modo de permisos de Project Server proporciona un conjunto de grupos de seguridad personalizables y otra funcionalidad diferente a la de los grupos de SharePoint. Esta plataforma de seguridad funciona de forma independiente de los permisos de SharePoint en la granja de servidores y le permite ajustar los niveles de permisos para los usuarios de Project Web App. Se trata del mismo modo de permisos que estaba disponible en Project Server 2010.
Para ver una comparación de las características admitidas en cada modo de seguridad, consulte Planeación de acceso de usuarios en Project Server 2013.
Si no está seguro de qué modo de permisos está establecido o si necesita cambiar los modos de permisos, vaya a esta sección.
¿Ha creado grupos de Windows para administrar eficazmente las cuentas de usuario?
Para reducir al mínimo el esfuerzo de agregar manualmente usuarios a TFS y Project Server, cree grupos de Windows o Active Directory. A continuación, puede agregar estos grupos a grupos de TFS, Project Server y sitios de SharePoint que disponen de permisos predefinidos. Además, puede sincronizar los recursos con Active Directory en varios dominios y bosques.
Para más información, vea Administración de la sincronización de grupos de seguridad con Active Directory en Project Server 2013.
1.Identifique todas las cuentas de servicio y de usuario a las que debe asignar permisos
Identifique las cuentas de servicio, las cuentas de usuario los o grupos de Active Directory que se configuraron y que necesitarán obtener acceso a los recursos que admiten la sincronización de datos entre TFS y Project Server.
Cuentas de servicio
Identifique las cuentas de servicio siguientes:
Cuenta de servicio de TFS
Abra la consola de administración de Team Foundation. Si se usa una cuenta de servicio de red, cámbiela a una cuenta de dominio.
Cuenta de servicio para el controlador de eventos de Project Server
En el equipo donde está instalado Project Server, abra Equipo>Administrar servicios y busque Microsoft Project Server Events Service.
Cuentas de servicio que ejecutan los grupos de aplicaciones web de Project Server
Podría haber más de una cuenta de servicio, dependiendo del número de instancias de PWA que participarán en la sincronización de datos de TFS. Debe identificar tanto la instancia de appPool de SharePoint que hospeda PWA como la instancia de appPool del servicio PSI. Un nombre de appPool GUID podría estar asociado al appPool del servicio PSI.
Abra Administración de sitios central de SharePoint, Administración de aplicaciones, Administrar aplicación de servicio, Aplicación Project Server.
Busque el sitio de SharePoint que hospeda la instancia de PWA. Tome nota del número. Podría estar en uno o varios puertos, por ejemplo, 80 de SharePoint o aplicación web de SharePoint.
Abra el Administrador de IIS, expanda sitios y busque los sitios web de SharePoint que se corresponden con la instancia de PWA que identificó.
Para Project Server 2010: abra Configuración avanzada para el grupo de aplicaciones y encontrará la identidad de la cuenta de AppPool.
En Project Server 2013: expanda los servicios web de SharePoint y expanda cada GUID hasta que encuentre el que contiene el servicio de la PSI de Project. En Configuración avanzada, identifique el grupo de aplicaciones, que es un nombre de grupo de GUID.
En IIS, en AppPools, busque la cuenta utilizada para ejecutar este grupo de aplicaciones de GUID.
Cuentas de usuario
Identifique los grupos o cuentas de usuario siguientes:
Cuentas de usuario que van a ejecutar el comando TFSProjectServer registerPWA
Cuentas de usuario que asignarán componentes para permitir la integración de TFS y Project Server, pero no registrar PWA
Usuarios de Project Professional
Usuarios asignados como recursos del proyecto o que tienen asignados elementos de trabajo de TFS
Estos usuarios envían las actualizaciones de estado que fluyen en la cola de estado para el jefe de proyecto
En función del rol, conceda permisos a cada instancia de PWA que participa en la sincronización de datos con el servidor de SharePoint, al grupo de recursos de la empresa y a TFS.
2.Conceder permisos para acceder a cada instancia de PWA
Realice las tareas siguientes, según la versión y el modo de permiso usados en la implementación. Debe agregar cuentas para cada instancia de PWA que registre y asigne a un proyecto de equipo.
Tarea |
Establezca para esta configuración: |
---|---|
2-1. Conceder permisos globales para la cuenta de servicio de TFS |
|
2-2. Conceder permisos de categoría para la cuenta de servicio de TFS |
|
2-3. Agregar cuentas a un grupo de seguridad de PWA:
|
|
2-4. Agregar cuentas a un grupo de seguridad de PWA (modo SharePoint)
|
|
2-5. Agregar cuentas de usuario al grupo de recursos de la empresa de Active Directory |
|
2-1 Conceder permisos globales
Necesario para: y
En la página Configuración de PWA, abra administrar usuarios y, a continuación, Nuevo usuario.
Agregue la cuenta de servicio de TFS.
Escriba la información requerida en cada campo. Tenga en cuenta lo siguiente:
Desactive la casilla El usuario puede asignarse como recurso porque se trata de una cuenta de servicio.
En Autenticación de usuario, escriba el nombre de la cuenta de servicio de TFS.
Asigne los siguientes permisos de tipo Global:
Administración: Administrar campos personalizados de empresa, Administrar eventos del servidor, Administrar servicios del sitio y Administrar usuarios y grupos.
General: Iniciar sesión, Nueva asignación de tarea y Reasignar tarea.
Proyecto: Crear equipo en nuevo proyecto.
Vistas: Ver aprobaciones, Ver Centro de proyectos, Ver Centro de recursos y Ver centro de tareas.
Guarde los cambios.
2-2 Conceder permisos de categoría
Necesario para: y
En la página principal de PWA, en el área de Inicio rápido, elija Configuración del servidor.
A continuación, seleccione Administrar categorías y, después, Nueva categoría.
Escriba un nombre para la categoría de cuentas de servicio, por ejemplo, Cuenta de servicio.
En Usuarios disponibles, elija el nombre de la cuenta de servicio de Team Foundation Server y, a continuación, elija Agregar.
En Proyectos, elija Todos los proyectos actuales y futuros de la base de datos de Project Server y haga clic en Guardar.
Agregue la cuenta de servicio de TFS y active las casillas para estos permisos de Categoría:
Proyecto: Abrir proyecto y Ver sitio del proyecto.
Recurso: Ver datos de recursos de empresa.
2-3 Agregar cuentas a un grupo de seguridad de PWA
Necesario para: y
Desde la página de configuración de PWA, abra Administrar usuarios, Nuevo usuario, y escriba la información requerida en cada campo:
Desactive la casilla El usuario puede asignarse como recurso si se trata de una cuenta de servicio.
En Autenticación de usuario, escriba el nombre de cuenta del usuario o cuenta de servicio de TFS.
Desactive la casilla El recurso puede redistribuirse si se trata de una cuenta de administrador o una cuenta de servicio.
En Grupos de seguridad, agregue la cuenta o grupo a uno de los grupos predeterminados:
Administradores: cuenta de servicio de TFS y las cuentas de usuarios que configuran la integración, que registran o anulan el registro de PWA.
Jefes de proyecto: usuarios que trabajan con Project Professional y PWA.
Miembros del equipo: usuarios que se asignan como un recurso y que se asignan a elementos de trabajo de TFS.
Si ha personalizado los permisos de categoría, compruebe que los miembros del equipo tienen las siguientes categorías de seguridad: Crear nueva tarea o asignación, Crear vínculos de objeto, Abrir proyecto, Ver sitio del proyecto y Ver programación de proyecto en Project Web App (Project Server 2010).
En Project Server 2013 en modo de permisos, seleccione: Abrir proyecto, Ver sitio del proyecto y Ver programación de proyecto en Project Web App.
Para modificar los permisos de categoría para el usuario seleccionado en una categoría, seleccione la categoría en la lista de Categorías seleccionadas y, a continuación, seleccione Permitir en los permisos que desea permitir.
Guarde los cambios.
Para más información, vea Agregar cuentas de usuario en Project Server 2010 o Planeación de acceso de usuarios en Project Server 2013..
2-4 Agregar cuentas a un grupo de seguridad de PWA (modo SharePoint)
Necesario para:
En la página principal de PWA, abra Configuración del sitio desde el icono de engranaje.
Abra Administradores de la colección de sitios y agregue la cuenta de servicio TFS.
Abra Personas y grupos.
Elija el grupo al que desea agregar cuentas.
Miembros del equipo de Project Web App: cuentas asignadas como recursos en el plan de proyecto o al campo Asignado a de un elemento de trabajo. O bien, agregue el grupo de Active Directory que se utiliza para administrar estos recursos.
Administradores de Project Web App: las cuentas de servicio de Team Foundation Server, el grupo de aplicaciones web de Project Server y el controlador de eventos de Project Server. Además, agregue las cuentas de usuarios que configuran la integración mediante la ejecución de los comandos de TfsAdmin ProjectServer RegisterPWA/UnRegisterPWA.
Administradores de la colección de sitios de PWA: las cuentas de los usuarios que configuran la integración mediante la ejecución de los comandos de TfsAdmin ProjectServer RegisterPWA/UnRegisterPWA.
Jefes de proyecto de Project Web App: cuentas de usuarios de Project Professional.
Sugerencia
Para ver todos los grupos predeterminados, elija Más.Para ver los permisos asignados a cada grupo, elija Configuración, Ver permisos del grupo.Para más información, vea Planeación de acceso de usuarios en Project Server 2013.
En la página del grupo, elija Nuevo, Agregar usuarios.
Escriba el nombre de cada cuenta o grupo de Active Directory que desee agregar al grupo seleccionado.
Elija Compartir.
2-5 Agregar cuentas de usuario al grupo de recursos de la empresa de Active Directory
Necesario para: , y
En la página de configuración de PWA, en Directivas operativas, elija Sincronización de grupo de recursos de Active Directory.
Agregue el grupo de Active Directory de los miembros del equipo de TFS al grupo de recursos de la empresa.
3.Conceder permisos de SharePoint Server
Conceder los permisos especificados mediante Administración central de SharePoint. O bien, puede usar Windows PowerShell.
Tarea |
Establezca para estas configuraciones: |
---|---|
3-1. Conceder permisos de conexión de control total para iniciar la aplicación de servicio de Project Server.
|
|
3-2. Agregar la cuenta de servicio de TFS a los administradores de colección de sitio para el sitio de SharePoint |
3-1 Conceder permisos de conexión de control total para iniciar la aplicación de servicio de Project Server
Necesario para: y
En el servidor de SharePoint para Project Server, abra Administración central de SharePoint y, en Administración de aplicaciones, elija Administrar aplicaciones de servicio.
Resalte la fila de Aplicación de servicio de Project Server haciendo clic en la fila, pero no en el nombre de la aplicación. En la cinta, elija Permisos.
Escriba el nombre de la cuenta de servicio de TFS y, a continuación, elija Agregar.
Asegúrese de que el nombre de la cuenta de servicio recién agregada está resaltado y, a continuación, active la casilla Control total. Elija Aceptar.
Repita los pasos 3 y 4, pero esta vez agregue la cuenta de servicio para el controlador de eventos de Project Server. Si hay más de una cuenta de servicio, asegúrese de agregarla.
Para más información, vea Restringir o habilitar el acceso a una aplicación de servicio.
3-2.Agregar la cuenta de servicio TFS al grupo Administradores de la colección de sitios
Necesario para:
En el servidor de SharePoint para Project Server, abra Administración central de SharePoint 2013 y elija Configuración de sitio en el icono de engranaje.
Elija Administradores de la colección de sitios.
Escriba el nombre de la cuenta de servicio de TFS y elija Aceptar cuando haya terminado.
4.Conceder permisos de base de datos de Project Server
Necesario para: , y
Conceda permisos a la cuenta de servicio de TFS y a la cuenta de servicio del grupo de aplicaciones web de Project Server para actualizar las bases de datos de cada instancia de PWA. Este paso es necesario para todas las implementaciones, tanto de Project Server 2010 como de Project Server 2013.
En el servidor de la capa de datos de Project Server, abra SQL Server Management Studio.
En la lista Tipo de servidor, seleccione Motor de base de datos.
En el cuadro Nombre del servidor, escriba el nombre del servidor que hospeda las bases de datos de Project Server y, a continuación, elija Conectar.
Nota
Si SQL Server está instalado en un clúster, escriba el nombre del clúster, no el del equipo.Si ha especificado una instancia con nombre, escriba el nombre del servidor y el nombre de la instancia con el formato siguiente: servidorDeBaseDeDatos\nombreDeInstancia.
Se abre SQL Server Management Studio.
Expanda Bases de datos, haga clic con el botón secundario o abra el menú contextual correspondiente a la base de datos de la instancia de PWA y, después, elija Propiedades:
Para Project Server 2010: PWA_Reporting o PWA_Publishing
Para Project Server 2013: ProjectWebApp
En la página Permisos, agregue la cuenta de servicio de TFS (necesario para Project Server 2010 y Project Server 2013, modo de permisos).
Para SQL Server 2008: elija Agregar para agregar una cuenta.
Para SQL Server 2012: elija Buscar para agregar una cuenta.
Conceda estos permisos en función de la base de datos que ha seleccionado:
Para Project Server 2010: PWA_Reporting: Modificar cualquier esquema, Crear tabla, Eliminar , Ejecutar, Insertar, Seleccionar y Actualizar.
Para Project Server 2010: PWA_Publishing: Seleccionar.
Para Project Server 2013: ProjectWebApp Modificar cualquier esquema, Crear tabla, Eliminar , Ejecutar, Insertar, Seleccionar y Actualizar.
Repita los pasos del 5 al 6, pero esta vez agregue la cuenta de servicio del grupo de aplicaciones web de Project Server. Esto es necesario para todas las implementaciones.
Repita los pasos del 4 a 7 con cada instancia de PWA que participará en la sincronización de datos con TFS.
5.Agregar cuentas de usuario al grupo Administradores de Team Foundation
Necesario para: , y
En el servidor de la capa de aplicación, Abrir la Consola de administración de Team Foundation, y abra Pertenencia a grupos.
Abra Administradores de Team Foundation.
Elija Grupo o usuario de Windows y, a continuación, elija Agregar.
Escriba el nombre de las cuentas de usuarios que configuran la integración mediante la ejecución de los comandos TfsAdmin ProjectServer RegisterPWA/UnRegisterPWA.
6.Conceder permisos para Administrar la integración de Project Server
Necesario para: , y
Las cuentas de los usuarios que configuran la integración de TFS y Project Server requieren que el permiso Administrar la integración de Project Server esté configurado en Permitir. Defina este valor para cada colección de proyectos que asigne a PWA.
En la página Seguridad de la colección de proyectos, abra los permisos de una cuenta de usuario o de una cuenta de Windows que haya agregado a TFS para administrar la integración de Project Server. Establezca los permisos de Administrar la integración de Project Server en Permitir.
7.Agregar cuentas a grupos de Team Foundation
Necesario para: , y
Las cuentas de los usuarios que trabajan en Project Professional o TFS requieren permisos para ver o contribuir a TFS.
Desde la página Seguridad de administración de TWA del proyecto de equipo, puede agregar cuentas a la colección de proyectos o a cada proyecto de equipo. Agregue cuentas o grupos de Active Directory a los roles correspondientes.
Compruebe que se han agregado las cuentas de usuario o grupos a los siguientes grupos TFS para cada proyecto de equipo que vaya a participar en la sincronización de datos:
Rol Colaborador: miembros de equipo que trabajan en un proyecto TFS integrado con Project Server. Esto incluye todas las cuentas de usuario asignadas como recursos en el plan del proyecto o al campo Asignado a para un elemento de trabajo. Estos usuarios envían las actualizaciones de estado que fluyen en la cola de estado para el administrador de proyectos.
Rol Lector: usuarios que modifiquen planes de proyecto empresarial que se asignan a un proyecto de equipo.
Para obtener más información, vea Agregar usuarios a proyectos de equipo.
Lista de comprobación de permisos
Utilice la siguiente lista de comprobación para revisar que todos los permisos se han establecido en función de la versión y del modo de autenticación. Recuerde que deben disponer de permisos de cuentas para todas las instancias de PWA, los proyectos de equipo y colecciones de proyectos que participarán en la sincronización de datos entre TFS y Project Server. Si personaliza un rol o categorías de seguridad para un rol, puede quitar sin darse cuenta los permisos necesarios.
Cuenta |
Permisos |
Project Server 2010 |
Project Server 2013 (Modo de permisos) |
Project Server 2013 (Modo SharePoint) |
Aplicación |
---|---|---|---|---|---|
Cuenta de servicio de TFS |
Permisos globales y de categoría |
PWA |
|||
Grupo Administradores de Project Web App |
PWA |
||||
Grupo Administradores de la colección de sitios |
Administración central de SharePoint |
||||
Conectar Permisos para la aplicación de servicio de Project Server (control total) |
Administración central de SharePoint |
||||
Bases de datos PWA_Reporting y PWA_Publishing |
SQL Server Management Studio |
||||
Base de datos ProjectWebApp |
SQL Server Management Studio |
||||
Cuenta de servicio para el grupo de aplicaciones web de Project Server (nota 1) |
Grupo Administradores de PWA |
PWA |
|||
Bases de datos PWA_Reporting y PWA_Publishing |
SQL Server Management Studio |
||||
Base de datos ProjectWebApp |
SQL Server Management Studio |
||||
Cuenta de servicio para el controlador de eventos de Project Server |
Conectar Permisos para la aplicación de servicio de Project Server (control total) |
Administración central de SharePoint |
|||
Grupo Administradores de PWA |
PWA |
||||
Cuentas de usuario que configurarán la integración y ejecutarán el comando TFSProjectServer registerPWA |
Grupo Administradores de PWA |
PWA |
|||
Grupo Administradores de la colección de sitios |
Administración central de SharePoint |
||||
Grupo Administradores de Team Foundation |
Consola de administración de Team Foundation |
||||
Administrar la integración de Project Server |
TWA |
||||
Cuentas de usuario que asignarán componentes para permitir la integración de TFS y Project Server, pero no registran PWA |
Administrar la integración de Project Server |
TWA |
|||
Usuarios de Project Professional |
Grupo Jefe de proyecto para cada instancia de PWA |
PWA |
|||
Grupo Lectores de TFS |
TWA |
||||
Usuarios asignados como recursos del proyecto o que tienen asignados elementos de trabajo de TFS |
Miembros del equipo para el grupo PWA App |
PWA |
|||
Miembros de equipo, categorías de seguridad (Nota 2) (Nota 2) |
PWA |
||||
Grupo de proyectos de la empresa y al grupo de recursos del proyecto para acceder al plan del proyecto |
PWA |
||||
Grupo Colaboradores de TFS |
TWA |
Notas:
Algunas implementaciones pueden tener más de una cuenta de servicio para el grupo de aplicaciones web de Project Server. Vaya aquí para determinar las cuentas de servicio para estos grupos de aplicaciones.
Las categorías Seguridad asignadas a los miembros del equipo de forma predeterminada son suficientes. Sin embargo, si estas categorías se han personalizado, podrían haberse quitado algunos permisos. Se requieren las siguientes categorías: Crear nueva tarea o asignación, Crear vínculos de objeto, Abrir proyecto, Ver sitio del proyecto y Ver programación de proyecto en Project Web App (Project Server 2010), y Abrir proyecto, Ver sitio del proyecto y Ver programación de proyecto en Project Web App (Project Server 2013, modo de permisos de Project).
Preguntas y respuestas
P: ¿Cómo puedo determinar o cambiar el modo de autenticación en SharePoint 2010?
R: En el sitio Administración central de SharePoint 2010, abra Administrar aplicaciones web en la sección Administración de aplicaciones y, a continuación, abra la aplicación de PWA.
Compruebe que está seleccionado Autenticación de modo clásico.
Si no lo está, necesitará crear una nueva instancia de PWA que utilice la autenticación de Windows clásico.
P: ¿Cómo determino el modo de permisos en SharePoint 2013?
R: En la página principal de PWA, utilice el icono de engranaje para abrir Configuración de PWA.
Si está establecido el modo de permisos de SharePoint, verá esta página:
Si está establecido el modo de permisos de Project, podrá ver esta página, que incluye una sección titulada Seguridad. También verá vínculos adicionales:
P: ¿Cómo puedo cambiar los modos de permisos en Project Server 2013?
R: De forma predeterminada, aplicaciones de PWA se crean usando el modo de permisos de SharePoint.
Si se cambia de modo de permisos de SharePoint al modo de permisos clásico de Project Server, debe configurar manualmente la estructura de permisos de seguridad en Project Server 2013. Si se cambia entre el modo de permisos de SharePoint y el modo de permisos de Project Server, se elimina toda la configuración relacionada con la seguridad.
Para cambiar el modo de permisos, consulte Set-SPProjectPermissionMode.
P: ¿Qué otros recursos están disponibles?
R: Encontrará respuestas a preguntas adicionales en los siguientes recursos:
Project Server 2010 |
Microsoft Project Server 2013 |
---|---|
Vea también
Tareas
Configurar la integración de TFS y Project Server
Conceptos
Referencia de configuración rápida
Información general del proceso de sincronización para la integración de TFS y Project Server
Administrar la integración de Team Foundation Server y Project Server