确定要使用的权限级别和组 (Windows SharePoint Services)

项目
05/17/2012

本文内容：

查看可用默认组
查看可用权限级别
确定是否需要其他权限级别或组
工作表

对于 Windows SharePoint Services 3.0 中的网站和内容安全而言，最重要的决策就是确定如何对用户进行分类以及分配什么样的权限级别。

可以利用几个默认提供的 SharePoint 组，帮助您根据用户需要执行的操作的类型对用户进行分类，但是，您可能有自己独特的需求，或者对于用户组有其他方式的考虑。同样，也存在一些默认的权限级别，但是，它们可能并非始终与您的组需要执行的任务完全一致。

在本文中，您将查看默认组和权限级别，并确定是按原样使用它们，还是对其进行自定义，或者是创建其他组和权限级别。

查看可用默认组

使用 SharePoint 组，您可以用组的形式管理多个用户而不是管理单个用户。SharePoint 组可以由许多单个用户组成，可以包含一个 Windows 安全组，也可以是单个用户和 Windows 安全组的某种组合。SharePoint 组不会授予对网站的任何特定权限；这些组只不过是包含一组用户的一种方式。您可以将用户组织成若干个组，或者分为几个组，具体取决于您的组织的大小和网站的复杂程度。

下表列出了为 Windows SharePoint Services 3.0 中的网站创建的默认 SharePoint 组。

组名称	默认权限级别
<网站名称> 访问者	读取
<网站名称> 成员	参与讨论
<网站名称> 所有者	完全控制

此外，还针对较高级别的管理任务提供了下列特殊用户和组：

网站集管理员您可以将一个或多个用户指定为网站集主管理员或第二管理员。这些用户会作为网站集的联系人记录在数据库中，他们对网站集中的所有网站都具有完全控制权限，可以审核所有网站内容以及接收任何管理警报（例如验证网站是否仍在使用）。通常情况下，网站集管理员是在创建网站时指定的，但是，可以根据需要使用“管理中心”网站或“网站设置”页更改网站集管理员。
服务器场管理员控制哪些用户可以管理服务器和服务器场设置。Farm Administrators 组免去了这样一种需要：将用户添加到服务器的 Administrators 组，或添加到 Windows SharePoint Services 2.0 版中使用的 SharePoint Administrators 组。服务器场管理员默认情况下无权访问网站内容；他们必须获得网站的所有权才能查看任何内容。服务器场管理员可以通过将自己添加为网站集管理员来实现这一点，这种操作会记录在审核日志中。Farm Administrators 组仅在管理中心使用，不适用于任何网站。
管理员本地服务器上 Administrators 组的成员可以执行所有服务器场管理员操作以及其他一些操作，包括：
- 安装新产品或应用程序。
- 将 Web 部件和新功能部署到全局程序集缓存。
- 创建新 Web 应用程序和新 IIS 网站。
- 启动服务。
与 Farm Administrators 组一样，本地服务器上 Administrators 组的成员默认情况下无权访问网站内容。

在确定所需的组后，您便可以确定要为网站上的每个组分配的权限级别。

工作表操作
使用自定义权限级别和组工作表（该链接可能指向英文页面）(https://go.microsoft.com/fwlink/?linkid=73133&clcid=0x804)（该链接可能指向英文页面）可以记录需要创建的任何组。

查看可用权限级别

能否查看、更改或管理特定网站是由您分配给用户或组的权限级别决定的。此权限级别控制对网站以及继承该网站访问权限的任何子网站、列表、文档库、文件夹、项目或文档的所有权限。如果没有适当的权限级别，您的用户可能无法执行他们的任务，或者，对于您不希望他们执行的任务，他们可能会获得相应的执行权限。

默认情况下，可以使用下列权限级别：

受限访问包括允许用户查看特定列表、文档库、列表项、文件夹或文档的权限（如果授予）。
读取包括允许用户查看网站页面上的项目的权限。
参与讨论包括允许用户在网站页面上或列表和文档中添加项目或者更改项目的权限。
设计包括允许用户使用浏览器或 Microsoft Office SharePoint Designer 2007 更改网站页面布局的权限。
完全控制包括所有权限。

有关默认权限级别中包含的权限的详细信息，请参阅用户权限和权限级别。

确定是否需要其他权限级别或组

设置默认组和权限级别的目的是提供一个一般性的权限框架结构，以期涵盖大部分组织类型及其内部的角色。不过，这些默认组和权限级别可能不会准确对应您的用户组织方式或您的用户可在网站上执行的各种任务。如果默认组和权限级别不适合您的组织，您可以创建自定义组，可以更改特定权限级别中包括的权限，也可以创建自定义权限级别。

是否需要自定义组？

确定是否创建自定义组的过程相当简单，并且这种决策对网站的安全性影响很小。实际上，如果符合下列任一情况，您应该创建自定义组而不是使用默认组：

您的组织内部的用户角色比默认组中的用户角色多（或少）。例如，如果除设计人员外，还有一组人员的任务是向网站发布内容，则您可能需要创建一个“发布”组。
组织内部在网站中执行不同任务的特定角色具有为人熟知的称呼。例如，如果您要创建一个公共网站来出售组织的产品，则可能需要创建一个“客户”组来代替 Visitors 组或 Viewers 组。
您希望使 Windows 安全组和 SharePoint 组之间保持一一对应关系（例如，您的组织有一个针对网站管理员的安全组，而您希望使用该安全组的名称作为 SharePoint 组的名称，以便在管理网站时方便识别）。
您希望使用其他组名。

是否需要自定义权限级别？

确定是否自定义权限级别不如确定是否自定义 SharePoint 组那样简单。如果您自定义分配给特定权限级别的权限，则必须跟踪所做的自定义更改，验证这些更改对受其影响的所有组和网站都起作用，并确保更改不会对安全性或者服务器容量或性能产生负面影响。

例如，对于安全性，如果您自定义了“参与讨论”权限级别，使其包括通常属于“完全控制”权限级别的“创建子网站”权限，则参与者可以创建和拥有子网站，他们可能会邀请恶意用户访问他们的子网站或发布未批准的内容。或者，对于容量，如果您更改了“读取”权限级别，使其包括通常属于“参与讨论”权限级别的“创建警报”权限，则 Visitors 组的所有成员都可以创建警报，这可能会使服务器负载过大。

如果符合以下任一情况，您应该自定义默认权限级别：

默认权限级别不包括用户执行工作所需的权限，而您希望添加该权限。
默认权限级别包括用户不需要的权限。

备注

如果组织对默认权限级别的某个特定权限有安全性或其他方面的担心，不希望被指定到该权限级别或指定到其他包含这个特定权限的权限级别的所有用户都具有这个特定权限，则不应该自定义默认权限级别。在这种情况下，您应对服务器场中的所有 Web 应用程序都禁用此权限，而不是更改所有权限级别。若要管理 Web 应用程序的权限，请在管理中心的“应用程序管理”页上的“应用程序安全性”部分，单击“Web 应用程序的用户权限”。

如果需要对特殊权限级别进行多处更改，最好创建一个包含所需全部权限的自定义权限级别。

如果符合下列任一情况，则您可能需要创建其他权限级别：

您希望从特定权限级别中排除几个权限。
您希望为新权限级别定义一组独特的权限。

若要创建权限级别，您可以复制现有权限级别然后进行更改，也可以创建权限级别然后选择要包括的权限。

备注

某些权限依赖于其他权限。如果清除了另一个权限所依赖的权限，则也将清除另一个权限。

工作表操作
使用自定义权限级别和组工作表（该链接可能指向英文页面）(https://go.microsoft.com/fwlink/?linkid=73133&clcid=0x804)（该链接可能指向英文页面），可以记录要自定义或创建的任何权限级别。