Configurazione di gruppi, membri e autorizzazioni iniziali

Articolo
08/11/2011

Utilizzando il file del plug-in per Gruppi e autorizzazioni, è possibile configurare le impostazioni di sicurezza iniziali per un progetto team. A tale scopo, è necessario definire attività per creare gruppi di sicurezza, annidare gruppi, assegnare membri a gruppi e consentire o negare autorizzazioni specifiche a ogni gruppo. Oltre a eseguire queste attività, è possibile specificare le impostazioni di sicurezza iniziali per aree a livello di insieme, a livello di progetto, di classificazione del progetto e di sottoscrizione di eventi.

I modelli di processo per Microsoft Solutions Framework (MSF) assegnano diverse autorizzazioni ai gruppi predefiniti. È possibile modificare queste assegnazioni personalizzando il file del plug-in per Gruppi e autorizzazioni. Per ulteriori informazioni su questo plug-in, vedere Plug-in Gruppi e autorizzazioni.

In questo argomento

Definizione e assegnazione di autorizzazioni ai gruppi tramite gli elementi group e member e all'elemento permission di gruppo
Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server
Esempio di annidamento di gruppi e di assegnazione di membri a gruppi
Assegnazione di autorizzazioni a livello di insieme
Assegnazione di autorizzazioni a livello di progetto
Assegnazione di autorizzazioni per controllare percorsi area
Assegnazione di autorizzazioni per controllare percorsi di iterazione
Assegnazione di autorizzazioni per gestire sottoscrizioni di eventi

Per informazioni su come configurare le impostazioni di sicurezza iniziali per le aree funzionali di un progetto team, ad esempio Team Foundation Build, Controllo della versione di Team Foundation e Visual Studio Lab Management, vedere Controllo dell'accesso ad aree funzionali.

Per informazioni su come personalizzare i tipi di elementi di lavoro per consentire o negare l'accesso a gruppi o utenti, vedere Gestione delle autorizzazioni per creare o modificare elementi di lavoro.

Per ulteriori informazioni su come amministrare utenti e gruppi e controllare l'accesso per Visual Studio Application Lifecycle Management (ALM), vedere Configurazione di utenti, gruppi e autorizzazioni.

Definizione e protezione di gruppi utilizzando gli elementi group e member e l'elemento permission di gruppo

È possibile utilizzare gli elementi group e member per specificare un nuovo gruppo di sicurezza in Team Foundation Server e per aggiungere membri a tale gruppo. È possibile utilizzare l'elemento permission di gruppo per assegnare autorizzazioni a un gruppo e ai membri di tale gruppo. È necessario incapsulare ognuno di questi elementi all'interno degli elementi contenitore corrispondenti, ovvero groups, members e permissions. Per ognuno di questi elementi, è necessario utilizzare la struttura di sintassi seguente:

<group name="Group Name" description="Description of Group"></group>
<member name="MemberName"></member>
<permission name="PermissionName" class="ClassName " allow="True | False"/>

Nella tabella seguente vengono descritti gli attributi per gli elementi group e member e per l'elemento permission di gruppo. Utilizzare questi elementi solo nel file del plug-in Gruppi e autorizzazioni.

Elemento	Attributo	Descrizione
group	name	Specifica il nome del gruppo creato.
	description	Descrive lo scopo del gruppo ad altri utenti.
member	name	Specifica il nome di un gruppo aggiunto come membro di un altro gruppo. È possibile creare gruppi in cui preinserire alcuni dei tipi di membri seguenti: Gruppi predefiniti definiti in Team Foundation Server. Gruppi di progetti precedentemente creati nel file groupsandpermissions.xml, ad esempio [$$PROJECTNAME$$]\Contributors) Gruppi e utenti definiti in Active Directory e specificati utilizzando il formato seguente: DOMINIO\NOMEUTENTE DOMINIO\NOMEGRUPPO Per informazioni sul formato da utilizzare per specificare gruppi predefiniti, vedere Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server più avanti in questo argomento.
permission	name	Identifica l'autorizzazione da applicare. Per un elenco delle autorizzazioni supportate, vedere le sezioni seguenti più avanti in questo argomento: Assegnazione di autorizzazioni a livello di insieme Assegnazione di autorizzazioni a livello di progetto Assegnazione di autorizzazioni per controllare percorsi area e di iterazione
	class	Identifica la classe, o area, in cui viene concessa l'autorizzazione di gruppo. Di seguito vengono illustrati i valori validi. NAMESPACE: specifica le autorizzazioni a livello di insieme. PROJECT: specifica le autorizzazioni a livello di progetto. CSS_NODE: specifica le autorizzazioni per la visualizzazione e la gestione di percorsi area per un progetto team. ITERATION_NODE: specifica le autorizzazioni per la visualizzazione e la gestione di percorsi di iterazione per un progetto team. EVENT_SUBSCRIPTION: specifica le autorizzazioni per la visualizzazione, la sottoscrizione, l'annullamento della sottoscrizione e la modifica delle impostazioni degli avvisi per un progetto team.
	allow	Utilizza un valore true o false per indicare se l'autorizzazione viene concessa o negata.
	path	Identifica il nodo del percorso area o del percorso di iterazione in cui viene applicata l'autorizzazione. Questo attributo è valido solo quando class è impostato su CSS_NODE o ITERATION_NODE.

Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server

Nella tabella seguente sono elencate le macro che è possibile utilizzare per specificare un gruppo predefinito definito in Team Foundation Server.

Nota

È possibile specificare le macro incluse nella tabella seguente solo nel plug-in per Gruppi e autorizzazioni. Non è possibile specificare queste macro quando si assegnano autorizzazioni tramite i plug-in per la compilazione, il controllo della versione o Lab Management.

Gruppi predefiniti	Macro
Project Collection Administrators	[SERVER]\$$PROJECTCOLLECTIONADMINGROUP$$ [SERVER]\$$TEAMFOUNDATIONADMINGROUP$$
Project Collection Service Accounts	[SERVER]\$$PROJECTCOLLECTIONSERVICESGROUP$$
Project Collection Build Service Accounts	[SERVER]\$$PROJECTCOLLECTIONBUILDSERVICESGROUP$$
Project Collection Build Administrators	[SERVER]\$$PROJECTCOLLECTIONBUILDADMINSGROUP$$
Project Administrators	$$PROJECTADMINGROUP$$ [$$PROJECTNAME$$]\$$PROJECTADMINGROUP$$

Esempio di annidamento di gruppi e di assegnazione di membri a gruppi

Nell'esempio seguente viene illustrato come configurare gruppi denominati TestGroup1, TestGroup2 e TestGroup3. Nell'esempio viene aggiunto TestGroup1 come membro di TestGroup2. Perché il codice sia valido, è necessario definire TestGroup1 prima di definire TestGroup2.

<task id="GroupCreation1" 
    <taskXml>
      <groups>
        <group name="TestGroup1" description="Test group 1.  Contains no members out of the box.">
          <permissions>
            <permission name="GENERIC_READ" class="PROJECT" allow="true" />
          </permissions>
        </group>
        <group name="TestGroup2" description="Test group 2.  Contains TestGroup1 and Project Administrators.">
          <permissions>
            <permission name="GENERIC_READ" class="PROJECT" allow="true" />
          </permissions>
          <members>
            <member name="TestGroup1" />
            <member name="$$PROJECTADMINGROUP$$" />
          </members>
        </group>
        <group name="TestGroup3" description="Test group 3. Contains DOMAIN\USER, DOMAIN\GROUP, Project Administrators, and Project Collection Build Service Accounts.">
          <permissions>
            <permission name="GENERIC_READ" class="PROJECT" allow="true" />
          </permissions>
          <members>
            <member name="DOMAIN\USER" />
            <member name="DOMAIN\GROUP" />
            <member name="[$$PROJECTNAME$$]\$$PROJECTADMINGROUP$$" />
            <member name="[SERVER]\$$PROJECTCOLLECTIONBUILDSERVICESGROUP$$" />
          </members>
        </group>
      </groups>
    </taskXml>
</task>

Assegnazione di autorizzazioni a livello di insieme

È possibile assegnare autorizzazioni a livello di insieme utilizzando l'elemento permission di gruppo e la classe NAMESPACE. Queste autorizzazioni controllano l'accesso a risorse disponibili nei progetti team. È possibile impostare autorizzazioni a livello di insieme solo per le categorie di utenti seguenti:

Utenti e gruppi a livello di server, ad esempio Project Collection Administrators
Gruppi a livello di progetto aggiunti a livello di insieme nel server in cui è in esecuzione Team Foundation
Gruppi personalizzati creati e aggiunti a livello di insieme

Per informazioni sul formato da utilizzare per specificare gruppi, vedere Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server in precedenza in questo argomento.

Nota

Per impostare queste autorizzazioni, è possibile fare clic con il pulsante destro del mouse sul server in Team Explorer e quindi scegliere Sicurezza, aprire e utilizzare la console di amministrazione per Team Foundation oppure utilizzare gli strumenti da riga di comando TFSSecurity e tf. Per ulteriori informazioni, vedere Gruppi a livello di insieme, Modifica di gruppi e autorizzazioni con TFSSecurity e Comando Permission.

Nell'esempio seguente viene illustrato come concedere autorizzazioni a livello di insieme agli amministratori di progetto per un progetto team.

<group name="PROJECTADMINGROUP" description="Members of this group can add, modify, and delete items within the team project.">
   <permissions>
       <permission name="GENERIC_READ" class=" NAMESPACE " allow="true" />
       <permission name="WORK_ITEM_WRITE" class=" NAMESPACE " allow="true" />
       <permission name="MANAGE_LINK_TYPES" class=" NAMESPACE " allow="true" />
       <permission name="MANAGE_TEMPLATE" class=" NAMESPACE " allow="true" />
       <permission name="MANAGE_TEST_CONTROLLERS" class=" NAMESPACE " allow="true" />
    </permissions>
</group>

Nella tabella seguente vengono descritte le autorizzazioni a livello di insieme che è possibile assegnare.

Nota

Per impostazione predefinita, non viene assegnata alcuna autorizzazione a livello di insieme nei modelli di processo MSF.

Autorizzazione	Descrizione
DIAGNOSTIC_TRACE	Modifica impostazioni di traccia. Consente di modificare le impostazioni di traccia per raccogliere informazioni di diagnostica più dettagliate sui servizi Web di Team Foundation Server.
CREATE_PROJECTS	Crea nuovi progetti. Consente di creare progetti nell'insieme di progetti team.
GENERIC_WRITE	Modifica informazioni a livello di insieme. Consente di modificare autorizzazioni a livello di insieme per utenti e gruppi nell'insieme di progetti team. Gli utenti che dispongono di questa autorizzazione possono effettuare le attività seguenti: Aggiungere, rimuovere o rinominare un gruppo di applicazioni a livello di insieme in Team Foundation Server. Nota Non è possibile rimuovere gruppi a livello di insieme predefiniti, ad esempio il gruppo Project Collection Administrators. Aggiungere o rimuovere un utente o un gruppo in un gruppo di utenti Windows o in un altro gruppo di applicazioni in Team Foundation Server (a livello di server). Modificare le autorizzazioni a livello di insieme per utenti e gruppi. Gli utenti che dispongono di questa autorizzazione possono inoltre modificare le autorizzazioni per il controllo della versione e dispongono di accesso in scrittura a tutti i file nel controllo della versione, a meno che tale accesso non venga loro esplicitamente negato da altre autorizzazioni.
MANAGE_TEMPLATE	Gestisci modello di processo. Consente di scaricare, creare, modificare e caricare modelli di processo nell'insieme di progetti team.
MANAGE_TEST_CONTROLLERS	Gestisci controller test. Consente di eseguire o annullare la registrazione dei controller di test per l'insieme di progetti team.
MANAGE_LINK_TYPES	Gestisci tipi di collegamento elemento di lavoro. Consente di aggiungere, rimuovere e modificare i tipi di collegamenti per gli elementi di lavoro.
GENERIC_READ	Visualizza informazioni a livello di insieme. Consente di visualizzare l'appartenenza di gruppi a livello di insieme e le autorizzazioni di tali utenti.

Assegnazione di autorizzazioni a livello di progetto

È possibile assegnare autorizzazioni a livello di progetto nel file del plug-in Gruppi e autorizzazioni. Per assegnare tali autorizzazioni, utilizzare l'elemento permission di gruppo e la classe PROJECT. Queste autorizzazioni controllano l'accesso alle risorse di un singolo progetto. È possibile concedere l'accesso a utenti e gruppi in Windows, a gruppi in Team Foundation e a gruppi precedentemente definiti nel file del plug-in Gruppi e autorizzazioni. Per informazioni sul formato da utilizzare per specificare gruppi, vedere Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server in precedenza in questo argomento.

Nota

Dopo aver creato il progetto team, è possibile impostare queste autorizzazioni in Team Explorer. A tale scopo, fare clic con il pulsante destro del mouse sul progetto, scegliere Impostazioni progetto team, quindi Sicurezza. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity. Per ulteriori informazioni, vedere Gestione delle autorizzazioni.

Nell'esempio seguente viene illustrato come concedere diverse autorizzazioni al gruppo Contributors per un progetto team.

<group name="Contributors" description="Members of this group can add, modify, and delete items within the team project.">
   <permissions>
      <permission name="GENERIC_READ" class="PROJECT" allow="true" />
      <permission name="DELETE_TEST_RESULTS" class="PROJECT" allow="true" />
       <permission name="PUBLISH_TEST_RESULTS" class="PROJECT" allow="true" />
       <permission name="VIEW_TEST_RESULTS" class="PROJECT" allow="true" />
       <permission name="MANAGE_TEST_ENVIRONMENTS" class="PROJECT" allow="true" />
      <permission name="MANAGE_TEST_CONFIGURATIONS" class="PROJECT" allow="true" />
   </permissions>
</group>

Nella tabella seguente vengono descritte le autorizzazioni a livello di progetto che è possibile assegnare e vengono indicate le assegnazioni predefinite eseguite nei modelli di processo MSF.

Autorizzazione	Descrizione	Readers	Contributors	Builders
GENERIC_READ	Visualizza informazioni a livello di progetto. Consente di visualizzare l'appartenenza di gruppi a livello di progetto e le autorizzazioni di tali membri.
VIEW_TEST_RESULTS	Visualizza esecuzioni dei test. Consente di visualizzare piani di test in questo nodo.
MANAGE_TEST_CONFIGURATIONS	Gestisci configurazioni di test. Consente di creare ed eliminare configurazioni di test per il progetto team.
MANAGE_TEST_ENVIRONMENTS	Gestisci ambienti test. Consente di creare ed eliminare ambienti di test per il progetto team.
PUBLISH_TEST_RESULTS	Crea esecuzioni dei test. Consente di aggiungere e rimuovere risultati dei test e di aggiungere o modificare esecuzioni dei test per il progetto team.
DELETE_TEST_RESULTS	Elimina esecuzioni dei test. Consente di eliminare un test pianificato per il progetto team.
DELETE	Elimina progetto team. Consente di eliminare da Team Foundation Server il progetto per cui l'utente dispone di questa autorizzazione.
GENERIC_WRITE	Modifica informazioni a livello di progetto. Consente di modificare autorizzazioni a livello di progetto per utenti e gruppi in Team Foundation Server.

Assegnazione di autorizzazioni per controllare percorsi area

È possibile assegnare autorizzazioni che controllano l'accesso a definizioni di area utilizzando l'elemento permission di gruppo e la classe CSS_NODE. Queste autorizzazioni controllano l'accesso alla struttura di classificazione di un singolo progetto. È possibile concedere l'accesso a utenti e gruppi in Windows, a gruppi in Team Foundation e a gruppi precedentemente definiti nel file del plug-in Gruppi e autorizzazioni. Per informazioni sul formato da utilizzare per specificare gruppi, vedere Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server in precedenza in questo argomento.

Nota

Dopo aver creato il progetto team, è possibile impostare queste autorizzazioni in Team Explorer. A tale scopo, fare clic con il pulsante destro del mouse sul progetto, scegliere Aree e iterazioni, fare clic sulla scheda Area, quindi fare clic su Sicurezza. È possibile assegnare autorizzazioni ai nodi a livelli diversi all'interno della gerarchia. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity. Per ulteriori informazioni, vedere Gestione delle autorizzazioni.

Nell'esempio seguente viene illustrato come concedere diverse autorizzazioni al gruppo Contributors per un progetto team.

<group name="Contributors" description="Members of this group can add, modify, and delete items within the team project.">
   <permissions>
      <permission name="GENERIC_READ" class="CSS_NODE" allow="true" />
      <permission name="WORK_ITEM_READ" class="CSS_NODE" allow="true" />
      <permission name="WORK_ITEM_WRITE" class="CSS_NODE" allow="true" />
      <permission name="MANAGE_TEST_PLANS" class="CSS_NODE" allow="true" />
   </permissions>
</group>

Nella tabella seguente vengono descritte le autorizzazioni che è possibile assegnare per controllare l'accesso alla struttura gerarchica per i nodi dell'area e dell'iterazione del progetto. Nella tabella vengono inoltre indicate le assegnazioni predefinite eseguite nei modelli di processo MSF.

Nota

Per alcune operazioni di gestione degli elementi di lavoro sono necessarie più autorizzazioni, ad esempio in caso di eliminazione di un nodo.

Autorizzazione	Descrizione	Readers	Contributors	Builders
GENERIC_READ	Visualizza questo nodo. Consente di visualizzare le impostazioni di sicurezza per un nodo dell'area.
WORK_ITEM_READ	Visualizza elementi di lavoro in questo nodo. Consente di visualizzare, ma non di modificare, elementi di lavoro assegnati a un nodo dell'area.
WORK_ITEM_WRITE	Modifica elementi di lavoro in questo nodo. Consente di modificare elementi di lavoro assegnati a un nodo dell'area.
MANAGE_TEST_PLANS	Gestisci piani di test. Consente di creare e modificare piani di test assegnati a un nodo dell'area. Se i piani di test non sono stati eseguiti, possono anche essere eliminati.
CREATE_CHILDREN	Crea e ordina nodi figlio. Consente di creare nodi dell'area. Gli utenti che dispongono sia di questa autorizzazione sia dell'autorizzazione GENERIC_WRITE possono spostare o riordinare qualsiasi nodo figlio dell'area.
DELETE	Elimina questo nodo. Consente di eliminare nodi dell'area. Gli utenti che dispongono sia di questa autorizzazione sia dell'autorizzazione GENERIC_WRITE per un altro nodo possono eliminare nodi dell'area e riclassificare elementi di lavoro esistenti dal nodo eliminato. Se il nodo eliminato dispone di nodi figlio, vengono eliminati anche tali nodi.
GENERIC_WRITE	Modifica questo nodo. Consente di impostare autorizzazioni per nodi dell'area e di rinominare nodi dell'area.

Assegnazione di autorizzazioni per controllare percorsi di iterazione

È possibile assegnare autorizzazioni che controllano l'accesso a percorsi di iterazione utilizzando l'elemento permission di gruppo e la classe ITERATION_NODE. Queste autorizzazioni controllano l'accesso alle versioni delle attività cardine o alle iterazioni per un singolo progetto. È possibile concedere l'accesso a utenti e gruppi in Windows, a gruppi in Team Foundation e a gruppi precedentemente definiti nel file del plug-in Gruppi e autorizzazioni. Per informazioni sul formato da utilizzare per specificare gruppi, vedere Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server in precedenza in questo argomento.

Nota

Dopo aver creato il progetto team, è possibile impostare queste autorizzazioni in Team Explorer. A tale scopo, fare clic con il pulsante destro del mouse sul progetto, scegliere Aree e iterazioni, fare clic sulla scheda Iterazione, quindi fare clic su Sicurezza. È possibile assegnare autorizzazioni ai nodi a livelli diversi all'interno della gerarchia. È inoltre possibile impostare queste autorizzazioni mediante lo strumento da riga di comando TFSSecurity. Per ulteriori informazioni, vedere Gestione delle autorizzazioni.

Nell'esempio seguente viene illustrato come concedere diverse autorizzazioni al gruppo Contributors per un progetto team:

<group name="Contributors" description="Members of this group can add, modify, and delete items within the team project.">
   <permissions>
      <permission name="GENERIC_READ" class="ITERATION_NODE" allow="true" />
      <permission name="GENERIC_WRITE" class=" ITERATION _NODE" allow="true" />
      <permission name=" CREATE_CHILDREN " class=" ITERATION _NODE" allow="true" />
</group>

Nella tabella seguente vengono descritte le autorizzazioni che è possibile assegnare per controllare l'accesso alla struttura gerarchica per i nodi dell'iterazione del progetto. Poiché i modelli di processo MSF non specificano autorizzazioni ITERATION_NODE, tutti i membri del team possono creare, visualizzare ed eliminare nodi dell'iterazione.

Nota

Per alcune operazioni di gestione degli elementi di lavoro sono necessarie più autorizzazioni, ad esempio in caso di eliminazione di un nodo.

Autorizzazione	Descrizione
GENERIC_READ	Visualizza questo nodo. Consente di visualizzare le impostazioni di sicurezza per un nodo.
CREATE_CHILDREN	Crea e ordina nodi figlio. Consente di creare nodi dell'iterazione. Gli utenti che dispongono sia di questa autorizzazione sia dell'autorizzazione GENERIC_WRITE possono spostare o riordinare qualsiasi nodo dell'iterazione.
DELETE	Elimina questo nodo. Consente di eliminare nodi dell'iterazione. Gli utenti che dispongono sia di questa autorizzazione sia dell'autorizzazione GENERIC_WRITE per un altro nodo possono eliminare nodi dell'iterazione e riclassificare elementi di lavoro esistenti dal nodo eliminato. Se il nodo eliminato dispone di nodi figlio, vengono eliminati anche tali nodi.
GENERIC_WRITE	Modifica questo nodo. Consente di impostare autorizzazioni per nodi dell'iterazione e di rinominare nodi dell'iterazione.

Assegnazione di autorizzazioni per gestire sottoscrizioni di eventi

È possibile assegnare autorizzazioni che controllano l'accesso ad avvisi di progetto utilizzando l'elemento permission di gruppo e la classe EVENT_SUBSCRIPTION. Queste autorizzazioni controllano l'accesso al servizio eventi di un singolo progetto team. È possibile concedere l'accesso a utenti e gruppi in Windows, a gruppi in Team Foundation e a gruppi precedentemente definiti nel file del plug-in Gruppi e autorizzazioni. Per informazioni sul formato da utilizzare per specificare gruppi, vedere Macro di gruppo e gruppi predefiniti definiti in Team Foundation Server in precedenza in questo argomento.

Nell'esempio seguente viene illustrato come concedere diverse autorizzazioni al gruppo Contributors per un progetto team.

<group name="Contributors" description="Members of this group can add, modify, and delete items within the team project.">
   <permissions>
        <permission name="GENERIC_READ" class="EVENT_SUBSCRIPTION" allow="true" />
        <permission name="GENERIC_WRITE" class=" EVENT_SUBSCRIPTION" allow="true" />
        <permission name="UNSUBSCRIBE" class=" EVENT_SUBSCRIPTION" allow="true" />
   </permissions>
</group>

Nella tabella seguente vengono descritte le autorizzazioni che è possibile assegnare per controllare l'accesso alle sottoscrizioni degli eventi.

Nota

Per impostazione predefinita, non viene assegnata alcuna autorizzazione di sottoscrizione degli eventi nei modelli di processo MSF. Tutti i membri del team possono visualizzare gli avvisi del progetto ed eseguirne o annullarne la sottoscrizione.

Autorizzazione	Descrizione
GENERIC_READ	Consente di visualizzare gli avvisi.
GENERIC_WRITE	Consente di modificare le impostazioni degli avvisi.
UNSUBSCRIBE	Consente di annullare la sottoscrizione degli avvisi.