Team Foundation Server 預設群組、使用權限和角色

更新：2007 年 11 月

當您在 Team Foundation Server 中建立新專案時，也會建立該專案之新專案層級的群組，並指派使用權限以存取適用於該群組的資源。若要自訂專案以更符合商務需求，您必須了解不同使用者和群組獲派的使用權限，以及您可能會新增的使用者或群組，所需要加入的使用權限。此外，若要使您的使用者與 MSF for Agile Software Development 或 MSF for CMMI Process Improvement 中所描述的角色更密切地結合，則必須了解如何將這些角色與指定給專案的預設群組結合。此外，您也可以建立與每個角色有直接關聯的群組，並將適用於該角色的使用權限指定給這些群組。

預設群組和使用權限

每當您在 Team Foundation Server 中建立專案時，也會在專案層級中建立群組。根據預設，這些群組都會獲派特定的使用權限。除了您要在伺服器或專案層級中加入的群組或使用者之外，也可以將使用權限加入至這些預設群組。

伺服器層級群組和使用權限

根據預設，當您安裝 Team Foundation Server 時，下列群組會出現在伺服器層級中：

• TeamFoundationServerName\Team Foundation Administrators：這個群組的成員可以執行 Team Foundation Server 的所有作業。這個群組的使用者需要具備 Team Foundation Server 的完整管理控制權，人數應盡量限制在最小範圍內。根據預設，這個群組包含伺服器的 [Local Administrators] 群組 (BUILTIN\Administrators) 和 SERVER\Service Accounts 群組。

• TeamFoundationServerName\Team Foundation Valid Users：這個群組的成員可以存取 Team Foundation Server。這個群組會自動包含已加入 Team Foundation Server 的所有使用者和群組。您無法修改這個群組的成員資格。

  重要事項：
  請勿取消設定或拒絕這個群組的 [檢視伺服器層級資訊] 使用權限。

• TeamFoundationServerName\Service Accounts：這個群組的成員擁有 Team Foundation Server 的服務層級使用權限。根據預設，這個群組會包含安裝期間所提供的服務帳戶。如果要將新帳戶加入至此群組，您必須使用 TFSSecurity 命令列工具加入。這個群組應該只包含服務帳戶，而不含使用者帳戶或群組 (除非該群組只包含服務帳戶)。根據預設，這個群組是 [Team Foundation Administrators] 的成員。

• TeamFoundationServerName\Team Foundation Licensed Users：(僅限 Team Foundation Server Workgroup Edition) 這個群組的成員可以連接至與 Team Foundation Server Workgroup Edition 一起安裝的伺服器。伺服器的存取權會授與群組成員，但是不會為這個群組明確設定任何其他使用權限。此群組可以具有一至五個使用者帳戶，但是群組帳戶無法成為成員。使用者帳戶可以是網域帳戶或工作群組環境的成員。產品名稱中的 "Workgroup" 一詞是指一至五位使用者的群組，而非工作群組環境。只有這個群組的成員才能連接至伺服器。根據預設，用來安裝 Team Foundation Server Workgroup Edition 的使用者帳戶會成為這個群組的成員。如果您升級為 Team Foundation Server Standard Edition，就可以移除此群組。

根據預設，這些群組具有下列為它們設定的使用權限。如需下列清單中每項使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

注意事項：
您可以使用 TFSSecurity 命令列公用程式來設定專案層級群組的伺服器層級使用權限。

使用權限名稱	根據預設，設定為：	考慮加入至：
管理擱置的變更	Team Foundation Administrators、Service Accounts	手動加入的使用者或群組，可能或必須刪除其他使用者建立的擱置集。
管理倉儲	Team Foundation Administrators、Service Accounts	手動加入的使用者或群組，可能或必須透過 WarehouseController.asmx Web 服務的 ChangeSetting Web 方法變更倉儲設定。
管理工作區	Team Foundation Administrators、Service Accounts	手動加入的使用者或群組，可能或必須為其他使用者建立工作區，並刪除其他使用者建立的工作區。
建立工作區	Team Foundation Administrators、Team Foundation Valid Users	無。
建立新專案	Team Foundation Administrators	定期建立新專案的 Project Administrators。使用者必須是 Windows SharePoint Server 中 [SharePoint Central Admins] 群組的成員而且在 SQL Reporting Services 中擁有 [內容管理員] 使用權限，才能成功地建立新專案。
編輯伺服器層級資訊	Team Foundation Administrators	無。
修改追蹤設定	Team Foundation Administrators	其他伺服器管理員，他們可能或必須變更追蹤設定，以便蒐集 Team Foundation Server Web 服務方面更詳細的診斷資訊。
觸發事件	Team Foundation Administrators、Service Accounts	無。將這項使用權限加入至其他使用者，可能會造成拒絕服務攻擊。
管理流程範本	Team Foundation Administrators	專案系統管理員和任何手動加入的使用者或群組 (例如流程專員)，他們可能或必須建立、編輯、下載並上載流程範本至 Team Foundation Server。
檢視伺服器層級資訊	Team Foundation Administrators、Service Accounts、Team Foundation Valid Users	無。
檢視系統同步處理資訊	Team Foundation Administrators、Service Accounts	無。

專案層級群組和使用權限

根據預設，下列群組會存在於專案層級中：

• ProjectName\Project Administrators：這個群組的成員無法建立新專案，但可以管理 Team 專案的各個層面。

• ProjectName\Contributors：這個群組的成員可以透過多種方法參與專案，例如加入、修改和刪除程式碼、建立和修改工作項目等等。

• ProjectName\Readers：這個群組的成員可以檢視專案，但不能修改專案。

• ProjectName\Build Services：這個群組的成員具有專案的組建 (Build) 服務使用權限。這個群組應該只包含組建服務帳戶，而不含使用者帳戶或群組 (除非該群組只包含組建服務帳戶)。

除了這些專案層級的帳戶之外，還有兩個伺服器層級的帳戶也會出現在每個 Team Foundation Server 專案中：

• TeamFoundationServerName\Team Foundation Administrators

  注意事項：
  您無法變更這個伺服器層級群組的使用權限。

• TeamFoundationServerName\Team Foundation Valid Users

  重要事項：
  請勿移除或拒絕這個群組的 [檢視專案層級資訊] 使用權限。

根據預設，這些群組具有下列為它們設定的使用權限。如需下列清單中每項使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

注意事項：
您可以使用 TFSSecurity 命令列公用程式，將專案層級群組加入至伺服器層級群組。

使用權限名稱	根據預設，設定為：	考慮加入至：
管理組建	Project Administrators、Team Foundation Administrators	手動加入的使用者或群組，可能或必須刪除完成的組建以及終止目前進行中的組建。
刪除此專案	Project Administrators、Team Foundation Administrators	無。
編輯組建品質	Project Administrators、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須透過 Team Foundation Build 使用者介面加入組建品質的相關資訊。
編輯專案層級資訊	Project Administrators、Team Foundation Administrators	無。
發行測試結果	Project Administrators、Team Foundation Administrators、Build Services	任何手動加入的使用者或群組，可能或必須加入及移除 Team 專案入口網站上的測試結果，並加入或移除測試回合。
啟動組建	Project Administrators、Contributors、Team Foundation Administrators、Build Services	任何手動加入的使用者或群組，可能或必須透過 Team Foundation Build 使用者介面或從命令列啟動組建。
檢視專案層級資訊	Project Administrators、Contributors、Readers、Team Foundation Administrators、Build Services、Team Foundation Valid Users	所有手動加入的使用者或群組。
寫入組建作業存放區	Build Services、Team Foundation Administrators	這個使用權限應該僅指派給 Service Accounts 而非個別使用者。

區域層級群組和使用權限

根據預設，下列群組會存在於區域層級中：

• ProjectName\Project Administrators

• ProjectName\Contributors

• ProjectName\Readers

• ProjectName\Build Services

• TeamFoundationServerName\Team Foundation Administrators

• TeamFoundationServerName\Team Foundation Valid Users

根據預設，這些群組具有下列為它們設定的使用權限。如需下列清單中每項使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

使用權限名稱	根據預設，設定為：	考慮加入至：
建立並排列子節點的順序	Project Administrators、Team Foundation Administrators	無。
刪除此節點	Project Administrators、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須刪除區域節點。
編輯此節點	Project Administrators、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須重新命名區域節點。
編輯此節點中的工作項目	Project Administrators、Contributors、Build Services、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須編輯這個區域節點中的工作項目。
檢視此節點	Project Administrators、Contributors、Readers、Build Services、Team Foundation Administrators、Team Foundation Valid Users	無。
檢視此節點中的工作項目	Project Administrators、Contributors、Readers、Build Services、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須檢視這個區域節點中的工作項目，但不進行編輯或變更。

反覆項目層級群組和使用權限

根據預設，下列群組會存在於反覆項目層級中：

• ProjectName\Project Administrators

• ProjectName\Contributors

• ProjectName\Readers

• ProjectName\Build Services

• TeamFoundationServerName\Team Foundation Administrators

• TeamFoundationServerName\Team Foundation Valid Users

根據預設，這些群組具有下列為它們設定的使用權限。如需下列清單中每項使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

使用權限名稱	根據預設，設定為：	考慮加入至：
建立並排列子節點的順序	Project Administrators、Team Foundation Administrators	無。
刪除此節點	Project Administrators、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須刪除區域節點。
編輯此節點	Project Administrators、Team Foundation Administrators	任何手動加入的使用者或群組，可能或必須重新命名區域節點。
檢視此節點	Project Administrators、Contributors、Readers、Build Services、Team Foundation Administrators、Team Foundation Valid Users	無。

原始檔控制群組和使用權限

根據預設，下列群組會存在於原始檔控制層級中：

• ProjectName\Project Administrators

• ProjectName\Contributors

• ProjectName\Readers

• ProjectName\Build Services

• TeamFoundationServerName\Team Foundation Administrators

• TeamFoundationServerName\Service Accounts

根據預設，這些群組具有下列為它們設定的使用權限。如需下列清單中每項使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

使用權限名稱	根據預設，設定為：	考慮加入至：
讀取	Project Administrators、Contributors、Readers、Build Services、Team Foundation Administrators、Service Accounts	大部分手動加入的使用者或群組，可能或必須讀取檔案或資料夾的內容。
簽出	Project Administrators、Contributors、Build Services、Team Foundation Administrators、Service Accounts	任何手動加入的使用者或群組，可能或必須簽出資料夾中的項目或進行暫止的變更。
簽入	Project Administrators、Contributors、Build Services、Team Foundation Administrators、Service Accounts	任何手動加入的使用者或群組，可能或必須簽入項目或修訂經過認可的變更集註解。
標籤	Project Administrators、Contributors、Build Services、Team Foundation Administrators、Service Accounts	任何手動加入的使用者或群組，可能或必須標籤 (Label) 項目。
鎖定	Project Administrators、Contributors、Build Services、Team Foundation Administrators、Service Accounts	任何手動加入的使用者或群組，可能或必須鎖定或解除鎖定資料夾或檔案。
修訂其他使用者的變更	Project Administrators、Team Foundation Administrators、Service Accounts	手動加入的使用者或群組 (負責管理或監視專案)，他們可能或必須變更所簽入檔案的註解 (即使由其他使用者簽入檔案也是)。
解除鎖定其他使用者的變更	Project Administrators、Team Foundation Administrators、Service Accounts	手動加入的使用者或群組，可能或必須解除鎖定其他使用者鎖定的檔案。
復原其他使用者的變更	Project Administrators、Team Foundation Administrators、Service Accounts	手動加入的使用者或群組，可能或必須復原其他使用者所做之暫止的變更。
管理標籤	Project Administrators、Team Foundation Administrators、Service Accounts	手動加入的使用者或群組，可能或必須編輯或刪除其他使用者建立的標籤。
管理安全性設定	Project Administrators、Team Foundation Administrators、Service Accounts	無。
簽入其他使用者的變更	Project Administrators、Team Foundation Administrators、Service Accounts	無。

與 MSF for Agile Software Development 角色相關聯的使用權限

如果您使用 MSF for Agile Software Development 流程範本建立 Team 專案，則可能會想要將使用者指定至對應於 MSF for Agile Software Development 角色的群組。您可以使用下列其中一種作法：將使用者指定至最接近每個角色所需的使用權限預設群組；或者，您可以為每個角色建立群組，指定適當的使用權限，然後加入擔任該角色的使用者。

根據 MSF for Agile Software Development 角色將使用者指定給預設群組

您可以根據 MSF for Agile Software Development 角色，將使用者指定給預設群組。雖然這些群組不會直接對應至每個角色，但是將使用者加入至這些群組相對而言較為簡單，而且您不需要建立新群組並在伺服器、專案、區域和原始檔控制層級中加入群組的使用權限。這個方法的缺點是您會失去對使用權限和控制的細微設定，但根據每個角色特別加入群組即可擁有此控制。

下表提供了可讓預設群組最接近每個 MSF for Agile Software Development 角色的建議。如需 MSF for Agile Software Development 與其角色的詳細資訊，請參閱 MSF for Agile Software Development 網站，網址為 https://msdn2.microsoft.com/zh-tw/teamsystem/aa718795.aspx (英文)。

Agile 角色	加入至預設群組
架構設計人員	Contributor
商務分析師	Contributor
程式開發人員	Contributor
專案管理人員	Project Administrator
發行管理人員	Project Administrator
軟體測試人員	Contributor

建立對應至 MSF for Agile Software Development 角色的群組並指定使用權限

您可以根據每個 MSF for Agile Software Development 角色建立自訂群組，並指定使用者給這些群組。不使用提供之預設群組，而另行建立這些群組的優點是，您可以更妥善地控制角色和使用權限設定。但是這個方法的缺點是您必須建立新群組，並在伺服器、專案、區域和原始檔控制層級中加入群組的使用權限。

注意事項：
如果建立要對應角色的自訂群組，您必須在 Windows SharePoint Services、Reporting Services 和 Team Foundation Server 電腦上的 [Active Directory] 或 [本機使用者和群組] 中，為每個新群組設定適當的使用權限。這是除了設定 Team Foundation Server 使用權限，另外還要進行的設定。

重要事項：
您無法手動建立擁有 [Project Administrator] 或 [Team Foundation Administrator] 群組之所有使用權限的自訂群組。若為需要 [Project Administrator] 使用權限的自訂群組，請在 Active Directory 中或本機電腦上建立自訂群組，然後將這些群組加入至 [Project Administrators] 群組。

下表會提供適用於每個 MSF for Agile Software Development 角色之使用權限的建議。如需每個使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

Agile 角色	伺服器	專案	區域	反覆項目	原始檔控制
架構設計人員		啟動組建 檢視專案層級資訊	編輯此節點中的工作項目 檢視此節點 檢視此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
商務分析師		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目	檢視此節點	無
程式開發人員		檢視專案層級資訊 啟動組建	編輯此節點中的工作項目 檢視此節點 檢視此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
專案管理人員	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組
發行管理人員	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組
軟體測試人員		檢視專案層級資訊 編輯組建品質 發行測試結果	編輯此節點中的工作項目 檢視此節點 檢視此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定

與 MSF for CMMI Process Improvement 角色相關聯的使用權限

如果您使用 MSF for CMMI Process Improvement 流程範本建立 Team 專案，則可能會想要將使用者指定至對應於 MSF for CMMI Process Improvement 角色的群組。您可以使用下列其中一種作法：將使用者指定至最接近每個角色所需的使用權限預設群組；或者，您可以為每個角色建立群組，指定適當的使用權限，然後加入擔任該角色的使用者。

如需 MSF for CMMI Process Improvement 與其角色的詳細資訊，請參閱 MSF for CMMI Process Improvement 網站 (https://msdn2.microsoft.com/zh-tw/teamsystem/aa718795.aspx) (英文)。

根據 MSF for CMMI Process Improvement 角色將使用者指定給預設群組

您可以根據 MSF for CMMI Process Improvement 角色，將使用者指定給預設群組。雖然這些群組不會直接對應至每個角色，但是將使用者加入至這些群組相對而言較為簡單，而且您不需要建立新群組並在伺服器、專案、區域和原始檔控制層級中加入群組的使用權限。這個方法的缺點是您會失去對使用權限和控制的細微設定，但根據每個角色特別加入群組即可擁有此控制。

下表提供了可讓預設群組最接近每個 MSF for CMMI Process Improvement 角色的建議。

CMMI 角色	加入至預設群組
稽核員	Contributor
組建工程師	Project Administrator
商務分析師	Contributor
程式開發人員	Contributor
開發管理人員	Project Administrator
基礎結構架構設計人員	Contributor
IPM 主管人員	Contributor
首席程式開發人員	Project Administrator
產品管理人員	Contributor
專案管理人員	Project Administrator
發行管理人員	Project Administrator
方案架構設計人員	Contributor
贊助人員	Reader
主題專家 (SME)	Reader
測試管理員	Project Administrator
軟體測試人員	Contributor
使用者教育架構設計人員	Contributor
使用者經驗專員	Contributor

建立對應至 MSF for CMMI Process Improvement 角色的群組並指定使用權限

您可以根據每個 MSF for CMMI Process Improvement 角色建立自訂群組，並指定使用者給這些群組。相較於直接使用預設群組，這些群組具有更細微的分類及更多的控制。但是這個方法的缺點是您必須建立新群組，並在伺服器、專案、區域和原始檔控制層級中加入群組的使用權限。由於 MSF for CMMI Process Improvement 擁有許多角色，在您投入時間建立每個角色的群組之前，務必仔細考慮好專案所需的稽核層級、細微性和控制程度。

注意事項：
如果您建立要對應角色的自訂群組，必須為 Windows SharePoint Services、SQL Reporting Services 及 Team Foundation Server 電腦上的 [Active Directory] 或 [本機使用者和群組] 中的每個新群組設定適當的使用權限。這是除了設定 Team Foundation Server 使用權限，另外還要進行的設定。

重要事項：
您無法手動建立擁有 [Project Administrator] 或 [Team Foundation Administrator] 群組之所有使用權限的自訂群組。若為需要 [Project Administrator] 使用權限的自訂群組，請在 Active Directory 中或本機電腦上建立自訂群組，然後將這些群組加入至 [Project Administrators] 群組。

下表會提供適用於每個 MSF for CMMI Process Improvement 角色之使用權限的建議。如需每個使用權限的完整說明，請參閱 Team Foundation Server 使用權限。

CMMI 角色	伺服器	專案	區域	反覆項目	原始檔控制
稽核員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	無
組建工程師		檢視專案層級資訊 管理組建、編輯組建品質、啟動組建	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
商務分析師		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	無
程式開發人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
開發管理人員	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組
基礎結構架構設計人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
IPM 主管人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	無
首席程式開發人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
產品管理人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
專案管理人員	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組
發行管理人員	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組	加入群組成員至 Project Administrators 群組
方案架構設計人員		檢視專案層級資訊 啟動組建	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
贊助人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目	檢視此節點	無
主題專家 (SME)		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目	檢視此節點	無
測試管理員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
軟體測試人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定
使用者教育架構設計人員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取
使用者經驗專員		檢視專案層級資訊	檢視此節點 檢視此節點中的工作項目 編輯此節點中的工作項目	檢視此節點	讀取 簽出 簽入 標籤 鎖定

請參閱

工作

HOW TO：設定 Team Foundation Server 的系統管理員使用權限

HOW TO：設定 Team Foundation Server 的專案組長使用權限

HOW TO：設定 Team Foundation Server 的參與者使用權限

HOW TO：設定 Team Foundation Server 的讀取者使用權限

HOW TO：建立伺服器層級群組

HOW TO：建立 Team 專案群組

HOW TO：變更群組或使用者的使用權限

HOW TO：檢視使用權限

概念

在群組中加入和移除使用者

Team Foundation Server 使用權限

其他資源

管理群組

管理使用者

TFSSecurity 命令列公用程式命令