Team Foundation Server 权限

项目
06/07/2013

可以在 Visual Studio Team Foundation Server (TFS) 部署中控制对团队项目和团队项目集合的访问权限，具体做法是了解并配置在该部署中向用户和组分配的权限。 Team Foundation Server 包含多个实用程序，以帮助您查看和管理权限。对于单个用户和组，请按照使用 Team Web Access 在 View or change your permissions or join another team 或按照使用团队资源管理器中更改组或用户的权限。您还可以使用这些工具来拒绝用户访问团队项目。有关更多信息，请参见Restricting access to projects in the deployment。

备注

本主题不讨论针对 SharePoint 产品或 SQL Server Reporting Services 的权限。本主题只讨论在 TFS 中设置的权限。有关如何为 TFS 中的用户设置 Reporting Services 和 SharePoint 产品中的权限的更多信息，请参见向团队项目中添加用户、设置对团队项目集合的管理员权限和设置 Team Foundation Server 的管理员权限。

主题内容

权限的新增功能
默认权限组的概述
权限状态
- 拒绝
- 允许
- 未设置
Inheritance
设置权限
- 服务器级别权限
- 集合级别权限
- 项目级别的权限
- 生成级别的权限
- 工作项查询权限
- 工作项跟踪的区域级别权限
- 工作项跟踪的迭代级别权限
- 版本控制权限
- Lab Management 权限

权限的新增功能

在 Team Foundation Server 此版本中，权限的管理接口大部分转换到 Team Web Access。您可以打开管理上下文中的 Team Web Access，可以查看并管理除服务器级别之外的所有级别上的权限。此外，通过将鼠标指针悬停在该权限然后单击**“为什么?”**选项可以查看有关为什么和怎样为用户或组设置一个单独的权限的相关信息。

创建团队项目时此版本的 Team Foundation Server 还创建默认团队组的创建。虽然团队组自身没有手动可配置的权限，此组中的成员资格需要用户在 Team Web Access 中使用团队功能。此外，将此默认团队组自动添加到该项目的**“参与者”**默认组中。除非您进行修改，否则您向团队添加的任何用户将具有分配给参与者组的所有权限。

Team Web Access 具有显示的可供用户使用的功能和成员资格新控件在 Team Web Access 访问控制的访问组中的用户是否可以看到和使用这些控件。您可以为组和用户设置访问级别，也可以为 TFS 的整个部署设置默认级别。有关更多信息，请参见对 Team Web Access 中的功能的访问权限。

默认权限组的概述

权限决定了是否授权用户进行工作区管理和项目创建等操作。当在 TFS 中创建项目时，无论选择哪种过程模板，都会为该项目创建五个默认组。默认情况下，为这些组各自定义了一些权限，这些权限决定了组成员可以执行的操作。

项目管理员
参与者
访问者
生成管理员
默认团队组，由“团队”追加项目的名称。例如，如果创建一个名为“Code Sample”项目，其队的组名将为“Code Sample Team”。

除为每个团队项目创建的默认组外，当创建团队项目集合时，无论选择哪种过程模板，都会为该集合创建七个默认组。而且还为每个组定义了一些权限。

项目集合管理员
项目集合服务帐户
项目集合生成管理员
项目集合生成服务帐户
项目集合有效用户
项目集合代理服务帐户
项目集合测试服务帐户

当安装 Team Foundation Server 时，将在服务器级别创建四个默认组。而且为每个组定义了一些权限。

Team Foundation Administrators
Team Foundation Service Accounts
Team Foundation Valid Users
SharePoint Web Application Services

若要有效地管理这些默认组中的用户成员资格以及创建自定义组，管理员必须先了解权限的含义以及显式设置权限引起的安全问题。有关默认情况下分配给每个组的权限的更多信息，请参见 Team Foundation Server 默认组、权限和角色。

提示

在 TFS 的某些功能只供具有这些功能相应授权级别的用户使用。对于这些功能的访问是不被权限控制的，但是只有 Team Web Access 的授权组成员资格才行。有关更多信息，请参见向团队项目中添加用户、对 Team Web Access 中的功能的访问权限和 Team Foundation Server 许可白皮书。

权限状态

可以为 Team Foundation Server 中的权限指定两种显式授权状态：“拒绝”和“允许”。还有一种隐式授权，它既不将权限设置为**“允许”，也不将权限设置为“拒绝”。此授权是一种隐式“拒绝”状态，又称为“未设置”**。

拒绝

“拒绝”不允许授权用户或组执行权限说明中提到的操作。 “拒绝”是 TFS 中最强大的权限状态。如果用户所属的 TFS 组将特定权限设置为**“拒绝”，那么即使用户所属的另一个组将该权限设置为“允许”，该用户仍无法执行该功能。此规则的唯一例外是当用户属于团队项目集合的“项目集合管理员”组成员或属于“Team Foundation 管理员”**组成员时，除非在权限描述中另有说明。默认情况下，如果用户是管理员组成员，则该组权限会覆盖该用户在 Team Foundation Server 中的显式“拒绝”。如果授权设置重写默认管理权限，则会在下表的权限说明中指出该重写。

允许

“允许”则允许授权用户或组执行权限说明中提到的操作。在 TFS 的第二大的权限状态被频繁地设置，显式并传递到**“允许继承”。如果您未将权限显式设置为“允许”，或未将默认组的成员身份设置为“允许继承”**，则用户或组无法执行 Team Foundation Server 中的操作。

未设置

默认情况下，TFS 中的多数权限既没有设置为**“拒绝”，也没有设置为“允许”。权限处于“未设置”状态，它隐式拒绝授权用户和组执行权限说明中指定的操作。但是，因为权限既没有显式设置为“拒绝”，也没有显式设置为“允许”**，它可以从用户或组所属的其他组继承授权。

Inheritance

当用户或组的权限为**“未设置”时，因为 TFS 中的权限是可继承的，所以用户或组可能受到其所属组权限的显式状态的影响。例如，当您评审用户或组的权限时，可以为查看权限集 “允许” 和 “允许继承”。这种后者权限从某些其他组用户或组所属继承。在这个示例中，用户可能属于在项目级别和项目的集合级别的组。如果其中一个组的某个权限显式设置为“允许”，另一个组的同一权限未设置**，则该用户将允许继承此权限所控制的操作。该用户从两个组中继承权限，**“允许”权限优先于“未设置”**的权限。

若要了解权限继承的原因，您可以将鼠标指针悬停在权限集上，然后选择**“为什么?”**。将打开一个显示该权限的继承信息的新窗口。

Team Web Access 中的权限

备注

在 TFS 以外（如 SharePoint 产品中）设置的权限不会在 TFS 中被继承。本主题中不对其进行讨论。

某些授权设置优先于其他授权设置。在 TFS 中，“拒绝”权限优先于包括“允许”在内的所有其他权限设置（对于该显式结构）。如果“拒绝”权限是从层次结构父元素（如版本控制）继承的，则不优先。例如，用户可能属于一个项目中的两个组。对于其中一个组，“发布测试结果”权限设置为“拒绝”；而另一个组则将该权限设置为**“允许”**。 **“拒绝”设置优先级更高，用户无权发布测试结果。此规则的唯一例外是从层次结构父元素继承显式“拒绝”**或者用户属于下列组之一：

项目管理员
项目集合管理员
Team Foundation Administrators

在层次结构（如版本控制和工作项跟踪）中，在特定对象上设置的显式权限会覆盖从父对象继承的显式权限。

设置权限

您可能希望为 TFS 设置的许多权限是通过 Team Web Access 用户界面，可以直接通过 Team Web Access 打开，也可以从团队资源管理器打开。可以根据集合（集合级别权限）、项目（项目级别权限）设置这些权限，或通过增加用户到团队组，团队。 (团队级别权限是隐式团队的成员资格是不能直接配置的。)还可以根据项目为查看工作项以及与工作项交互设置区域级别和迭代级别权限。有关如何为用户和组设置权限的更多信息，请参见团队入门和向团队项目中添加用户。

若要设置基于服务器（服务器级别权限）的权限，不能使用 Team Web Access。您必须使用 Team Foundation Server 的管理控制台来设置服务器级别权限。

服务器级别权限

服务器级别权限不特定于单个团队项目或团队项目集合。它们是在部署范围内设置的，它们授予可影响部署中的每个项目和集合的权限。

只能为两个类别的用户设置这些权限：

服务器级别的用户和组，如 Team Foundation Administrators
您创建并添加至服务器级别的自定义组

可以打开 Team Foundation 的管理控制台来设置这些权限。还可以使用 TFSSecurity 命令行工具来设置这些权限。有关更多信息，请参见使用 Team Foundation 管理控制台配置服务器和使用 TFSSecurity 更改组和权限。

下表列出每个服务器级别权限，并提供简要的用途说明。

权限名称	命令行中的名称	描述
管理仓库	ADMINISTER_WAREHOUSE	具有该权限的用户可以使用 WarehouseController.asmx Web 服务的 ChangeSetting Web 方法更改仓库设置。例如，您可以允许用户设置计算 OLAP 多维数据集的更新时间间隔。
创建团队项目集合	CreateCollection	具有此权限的用户可以在 Team Foundation Server 中创建和管理团队项目集合。
删除团队项目集合	DeleteCollection	具有此权限的用户可以从部署中删除团队项目集合。说明删除团队项目集合将不会从 SQL Server 中删除该集合的数据库。
编辑实例级别信息	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	具有此权限的用户可以编辑 Team Foundation Server 中用户和组的服务器级别权限。他们可以在集合中添加或移除服务器级别的应用程序组。当通过菜单设置时，“编辑实例级别信息”权限还将隐式允许用户修改版本控制权限。若要在命令提示符处授予所有这些权限，则除 GENERIC_WRITE 外，还必须使用 tf.exe Permission 命令授予 AdminConfiguration 和 AdminConnections 权限。注意无法移除 Team Foundation Administrators 等默认服务器级别组。
代表其他项发出请求	Impersonate	具有此权限的用户可以代表其他用户或服务执行操作。此权限只应指派给服务帐户。
触发事件	TRIGGER_EVENT	具有此权限的用户可以在 Team Foundation Server 中触发警报事件。此权限只应指派给服务帐户以及 Team Foundation Administrators 组的成员。
使用 Web Access 完全访问权限功能	FullAccess	具有此权限的用户可以使用 Team Web Access 的所有功能。如果此权限设为“拒绝”，用户只能查看允许 Team Web Access 中的“受限”组使用的功能（请参见对 Team Web Access 中的功能的访问权限）。拒绝将重写任何隐式许可，甚至包括属于管理组（如 Team Foundation Administrators）成员的帐户。
查看实例级别信息	GENERIC_READ	具有该权限的用户可以查看服务器级别的组成员资格以及那些用户的权限。

集合级别权限

集合级别权限不特定于单个项目，而是在集合范围内设置的。只能为三个类别的用户设置这些权限：

集合级别的用户和组，如 Project Collection Administrators
已在运行 Team Foundation 的服务器上添加至集合级别的项目级别组
您创建并添加至集合级别的自定义组

您可以通过选择团队资源管理器中的集合、选择**“团队”菜单、选择“团队项目集合设置”、然后选择“安全性”或通过打开管理模式中的 Team Web Access、导航到集合级别、然后选择“安全性”**选项卡来设置这些权限。还可以使用 TFSSecurity 命令行工具来设置这些权限，带有 tf: 标识的命令行工具除外。对于带有 tf: 标识的工具，使用版本控制的 tf 命令行实用工具的 Permission 命令来设置这些权限。有关更多信息，请参见使用 TFSSecurity 更改组和权限和Permission Command。

权限名称	命令行中的名称	描述
管理生成资源权限		具有此权限的用户可以管理生成资源。
管理 Project Server 集成	AdministerProjectServer	具有此权限的用户可以配置 Team Foundation Server 的集成，Project Server 支持两个服务器产品之间的同步。
管理搁置的更改	tf: AdminShelvesets	具有该权限的用户可以删除其他用户创建的搁置集。
管理工作区	tf: AdminWorkspaces	具有该权限的用户可以为其他用户创建工作区并删除其他用户创建的工作区。
改变跟踪设置	DIAGNOSTIC_TRACE	具有此权限的用户可以更改跟踪设置，以收集有关 Team Foundation Server Web 服务的更详细的诊断信息。
创建工作区	tf: CreateWorkspace	具有该权限的用户可以创建版本控制工作区。
创建新项目	CREATE_PROJECTS	具有此权限的用户可以在团队项目集合中创建项目。说明您不仅必须拥有此权限，还必须以管理员身份运行 Visual Studio，才能成功完成“新建团队项目向导”。有关更多信息，请参见创建团队项目。
删除团队项目	删除	具有此权限的用户可以删除团队项目集合中的团队项目。重要事项删除团队项目将会删除所有与该项目关联的数据。不能撤消团队项目的删除，除非将集合恢复到删除项目之前的某个点。
编辑集合级别信息	GENERIC_WRITE tf: AdminConfiguration tf: AdminConnections	具有此权限的用户可以编辑团队项目集合中用户和组的集合级别权限。他们可以在集合中添加或移除集合级别的 Team Foundation Server 应用程序组。当通过菜单设置时，“编辑集合级别信息”权限还将隐式允许用户修改版本控制权限。若要在命令提示符处授予所有这些权限，则除 GENERIC_WRITE 外，还必须使用 tf.exe Permission 命令授予 AdminConfiguration 和 AdminConnections 权限。说明无法移除 Project Collection Administrators 等默认集合级别组。
代表其他项发出请求	Impersonate	具有此权限的用户可以代表其他用户或服务执行操作。此权限只应指派给服务帐户。
管理生成资源	ManageBuildResources	具有此权限的用户可以管理团队项目集合的生成计算机、生成代理和生成控制器。这些用户还可以授予或拒绝其他用户的“查看生成资源”和“使用生成资源”权限。
管理过程模板	MANAGE_TEMPLATE	具有此权限的用户可以为团队项目集合下载、创建、编辑和上载过程模板。
管理测试控制器	MANAGE_TEST_CONTROLLERS	具有此权限的用户可以注册和取消注册团队项目集合的测试控制器。
管理工作项链接类型	WORK_ITEM_WRITE	具有此权限的用户可以添加、移除和更改工作项的链接类型。
触发事件	TRIGGER_EVENT	具有此权限的用户可以在团队项目集合中触发项目警报事件。此权限只应指派给服务帐户。
使用生成资源	UseBuildResources	具有此权限的用户可以保留和分配生成代理。此权限只应指派给生成服务的服务帐户。
查看生成资源	ViewBuildResources	具有此权限的用户可以查看为集合配置的生成控制器和生成代理。若要使用这些资源，您需要更多权限。
查看集合级别信息	GENERIC_READ	具有此权限的用户可以查看集合级别的组成员资格以及那些用户的权限。
查看系统同步信息	SYNCHRONIZE_READ	具有此权限的用户可以调用同步应用程序编程接口。此权限只应指派给服务帐户。

项目级别的权限

项目级别权限特定于单个项目的用户和组。您可以通过选择团队资源管理器中的项目、选择**“团队”菜单、选择“团队项目集合设置”、然后选择“安全性”**或通过打开管理模式中的 Team Web Access、导航到项目、然后选择“安全性”选项卡来设置这些权限。还可以使用 TFSSecurity 命令行工具来设置这些权限。

权限名称	命令行中的名称	描述
创建测试运行	PUBLISH_TEST_RESULTS	具有此权限的用户可以添加或移除测试结果，也可以添加或修改团队项目的测试运行。
删除团队项目	Delete	具有此权限的用户可以从 Team Foundation Server 中删除他们有权删除的项目。
删除测试运行	DELETE_TEST_RESULTS	具有此权限的用户可以删除该团队项目的计划测试。
编辑项目级信息	GENERIC_WRITE	具有此权限的用户可以编辑 Team Foundation Server 上用户和组的项目级别权限。
管理测试配置	MANAGE_TEST_CONFIGURATIONS	具有此权限的用户可以创建和删除该团队项目的测试配置。
管理测试环境	MANAGE_TEST_ENVIRONMENTS	具有此权限的用户可以创建和删除该团队项目的测试环境。
查看项目级信息	GENERIC_READ	具有该权限的用户可以查看项目级别的组成员资格以及那些项目用户的权限。
查看测试运行	VIEW_TEST_RESULTS	具有此权限的用户可以查看此节点中的测试计划。

生成级别的权限

生成级别权限特定于单个项目的用户和组。可以在团队项目级别设置生成权限，也可以为特定生成定义设置权限。可以通过打开团队资源管理器中的项目，选择**“生成”，并在“操作”下，选择“安全”。可以通过选择生成定义，然后选择“安全”，来对特定生成定义应用权限。如果您希望对生成文件夹应用权限，请选择该文件夹，并从其子菜单，然后单击“安全”**。此外，您还可以使用 TFSSecurity 命令行工具设置这些权限。

权限名称	命令行中的名称	描述
管理生成权限		具有此权限的用户可以管理其他用户的生成权限。
查看生成	ViewBuilds	具有此权限的用户可以查看该团队项目的已排队和已完成的生成。
编辑版本质量	EditBuildQuality	具有此权限的用户可以通过 Team Foundation Build 用户界面添加有关版本质量的信息。
无限期保留	RetainIndefinitely	具有此权限的用户可以标记生成，以使它不会自动被任何适用的保留策略删除。
删除生成	DeleteBuilds	具有此权限的用户可以删除已完成的生成。
管理生成质量	ManageBuildQualities	具有此权限的用户可以添加或移除生成质量。
销毁生成	DestroyBuilds	具有此权限的用户可以永久性删除已完成的生成。
更新生成信息	UpdateBuildInformation	具有此权限的用户可以添加生成信息节点到该系统，并且还可以添加有关生成质量的信息。此权限只应指派给服务帐户。
对生成进行排队。	QueueBuilds	具有此权限的用户可以通过 Team Foundation Build 界面或在命令提示符处将生成排入队列。它们还可以停止已排队的生成。
管理生成队列	ManageBuildQueue	具有此权限的用户可以取消、推迟已排队的生成或者重新设置其优先级。
停止生成	StopBuilds	具有此权限的用户可以停止正在进行的任何生成，包括其他用户排队和启动的生成。
查看生成定义	ViewBuildDefinition	具有此权限的用户可以查看已为该团队项目创建的生成定义。
编辑生成定义	EditBuildDefinition	具有此权限的用户可以创建和修改该项目的生成定义。
删除生成定义	DeleteBuildDefinition	具有此权限的用户可以删除该项目的生成定义。
重写由生成执行的签入验证	OverrideBuildCheckInValidation	具有此权限的用户可以在先不触发系统搁置并生成变更的情况下提交影响封闭生成定义的变更集。此权限只应指派给生成服务的服务帐户以及负责代码质量的生成管理员。有关更多信息，请参见签入由封闭签入生成控制的挂起的更改。

工作项查询权限

查询文件夹权限特定于您创建的查询和查询文件夹。可以对在**“团队查询”下创建的查询和文件夹设置权限以允许或限制访问。你可以通过选择团队资源管理器中的项目、打开的“工作项”、打开您想要设置权限的查询或文件夹的子菜单、然后选择“安全性”**来设置这些权限。您还可以在 Team Web Access 中的查询上设置这些权限。此外，您还可以使用 TFSSecurity 命令行工具设置这些权限。

权限名称	命令行中的名称	描述
参与	参与	具有此权限的用户可以查看和修改此查询或查询文件夹。
删除	Delete	具有此权限的用户可以删除查询或查询文件夹及其内容。
管理权限	ManagePermissions	具有此权限的用户可以管理此查询或查询文件夹的权限。
读取	READ	具有此权限的用户可以在文件夹中查看并使用查询或查询，但是不能修改查询或查询文件夹的内容。

工作项跟踪的区域级别权限

区域级别权限特定于单个项目的用户和组。您可以通过选择团队资源管理器中的项目、选择“设置”、选择“工作项区域”、选择向下键、然后选择“安全性”或者通过打开管理上下文中的 Team Web Access、导航到项目级别、选择 Areas 选项卡、选择向下键、然后选择**“安全性”**来设置这些权限。此外，您还可以使用 TFSSecurity 命令行工具设置这些权限。

备注

某些工作项跟踪操作需要多种权限。例如，您需要多种权限来删除节点。

权限名称	命令行中的名称	描述
创建子节点	CREATE_CHILDREN	具有此权限的用户可以创建区域节点。同时具有此权限以及“编辑此节点”权限的用户可以移动任何子区域节点或对任何子区域节点重新排序。
删除此节点	Delete	同时具有此权限以及对另一个节点的“编辑此节点”权限的用户可以删除区域节点并对所删节点中的现有工作项重新分类。如果删除的节点有子节点，则子节点也会被删除。
编辑此节点	GENERIC_WRITE	具有此权限的用户可以设置该节点的权限和重命名区域节点。
编辑此节点中的工作项	WORK_ITEM_WRITE	具有该权限的用户可以编辑此区域节点中的工作项。
管理测试计划	MANAGE_TEST_PLANS	具有此权限的用户可以创建和编辑该节点的测试计划。如果测试计划还未运行，则还可以删除它们。
查看此节点的权限。	GENERIC_READ	具有此权限的用户可以查看该节点的安全设置。
查看此节点中的工作项	WORK_ITEM_READ	具有此权限的用户可以查看，但不能更改该区域节点中的工作项。如果此权限设为“拒绝”，用户将无法查看此区域节点中的任何工作项。拒绝将重写任何隐式许可，甚至包括属于管理组（如 Team Foundation Administrators）成员的帐户。

工作项跟踪的迭代级别权限

迭代级别权限特定于单个项目的用户和组。您可以通过选择团队资源管理器中的项目、选择**“设置”、选择“工作项区域”、选择向下键、然后选择“安全性”或者通过打开管理上下文中的 Team Web Access、导航到项目级别、选择 Iterations 选项卡、选择向下键、然后选择“安全性”**来设置这些权限。此外，您还可以使用 TFSSecurity 命令行工具设置这些权限。

备注