为 Configuration Manager 配置安全性

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“安全角色”。

使用下列过程之一来创建新安全角色：

- 要创建新的自定义安全角色，请执行下列操作：

  1.  选择现有安全角色以用作新安全角色的来源。

  2.  在“主页”选项卡上的“安全角色”组中，单击“复制”。 这将创建源安全角色的副本。

  3.  在复制安全角色向导中，为新的自定义安全角色指定“名称”。

  4.  在“安全操作分配”中，展开每个“安全操作”节点以显示可用操作。

  5.  要更改安全操作的设置，请在“值”列中单击向下箭头，然后选择“是”或“否”。

      <div class="alert">

      <table>
      <colgroup>
      <col style="width: 100%" />
      </colgroup>
      <thead>
      <tr class="header">
      <th><img src="images/Dn768230.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-caution(SC.12).jpeg" title="System_CAPS_caution" alt="System_CAPS_caution" />小心</th>
      </tr>
      </thead>
      <tbody>
      <tr class="odd">
      <td><p>在配置自定义安全角色时，请确保不要授予与新安全角色关联的管理用户不需要的权限。 例如，“安全角色”的“修改”值安全操作将向管理用户授予编辑任何可访问安全角色的权限，即使这些用户未与该安全角色关联。</p></td>
      </tr>
      </tbody>
      </table>

      </div>

  6.  配置权限之后，单击“确定”保存新安全角色。

- 要导入从另一个 System Center 2012 Configuration Manager 层次结构导出的安全角色，请执行下列操作：

  1.  在“主页”选项卡上的“创建”组中，单击“导入安全角色”。

  2.  指定包含要导入的安全角色配置的 .xml 文件，并单击“打开”以完成过程并保存安全角色。

      <div class="alert">

      <table>
      <colgroup>
      <col style="width: 100%" />
      </colgroup>
      <thead>
      <tr class="header">
      <th><img src="images/Hh221349.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />注意</th>
      </tr>
      </thead>
      <tbody>
      <tr class="odd">
      <td><p>导入安全角色之后，你可以编辑安全角色属性来更改与安全角色关联的对象权限。</p></td>
      </tr>
      </tbody>
      </table>

      </div>

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“安全角色”。

选择要修改的自定义安全角色。

在“主页”选项卡上的“属性”组中，单击“属性”。

单击“权限”选项卡。

在“安全操作分配”中，展开每个“安全操作”节点以显示可用操作。

要更改安全操作的设置，请在“值”列中单击向下箭头，然后选择“是”或“否”。

小心
在配置自定义安全角色时，请确保不要授予与新安全角色关联的管理用户不需要的权限。 例如，“安全角色”的“修改”值安全操作将向管理用户授予编辑任何可访问安全角色的权限，即使这些用户未与该安全角色关联。

完成配置安全操作分配的操作后，单击“确定”以保存新安全角色。

在 配置管理器 控制台中，选择支持分配给安全作用域的对象。

在“主页”选项卡上的“分类”组中，单击“设置安全作用域”。

在“设置安全作用域”对话框中，选中或清除此对象与之关联的安全作用域。 必须将支持安全作用域的每个对象分配给至少一个安全作用域。

单击“确定”保存分配的安全作用域。

注意
在创建新对象时，你可以将对象分配给多个安全作用域。 要修改与对象关联的安全作用域的数量，你必须在创建对象之后更改此分配。

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“管理用户”。

在“主页”选项卡上的“创建”组中，单击“添加用户或组”。

单击“浏览”，然后选择要用于这个新管理用户的用户帐户或组。

注意
对于基于控制台的管理，只能将域用户或安全组指定为管理用户。

对于“关联的安全角色”，单击“添加”打开可用安全角色的列表，选中一个或多个安全角色的复选框，然后单击“确定”。

选择以下两个选项之一以定义新用户的安全对象行为：

- **与其关联安全角色相关的所有安全对象**：此选项将管理用户与“全部”安全作用域以及“所有系统”和“所有用户和用户组”的根级别内置集合关联。 分配给用户的安全角色定义对象的访问权限。 会将此管理用户创建的新对象分配到“默认”安全作用域。

- **仅指定安全作用域或集合中的安全对象**：默认情况下，此选项将管理用户与“默认”安全作用域以及“所有系统”和“所有用户和用户组”集合关联。 但是，实际安全作用域和集合仅限于那些与创建新管理用户所需的帐户关联的安全作用域和集合。 此选项支持添加或删除安全作用域和集合来自定义管理用户的管理作用域。

重要事项
前面的选项将每个分配的安全作用域和集合与分配给管理用户的每个安全角色关联。 可以使用第三个选项“仅限由管理用户的安全角色确定的安全对象”将单独的安全角色与特定安全作用域和集合关联。 在你创建新管理用户之后修改管理用户时，可以使用这第三个选项。

根据在步骤 6 中所做的选择执行以下操作：

- 如果选择了“与其关联安全角色相关的所有安全对象”，请单击“确定”完成此过程。

- 如果选择了“仅指定安全作用域或集合中的安全对象”，你可以单击“添加”以选择其他集合和安全作用域，或选择列表中的一个或多个对象，然后单击“删除”以将它们删除。 单击“确定”完成此过程。

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“管理用户”。

选择要修改的管理用户。

在“主页”选项卡上的“属性”组中，单击“属性”。

单击“安全作用域”选项卡以查看此管理用户的安全对象的当前配置。

要修改安全对象行为，请为安全对象行为选择一个新选项。 更改此配置之后，请参考相应的过程来了解为此管理用户配置安全作用域和集合以及安全角色的进一步指引。

单击“确定”完成该过程。

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“管理用户”。

选择要修改的管理用户。

在“主页”选项卡上的“属性”组中，单击“属性”。

单击“安全作用域”选项卡，确认已针对“与其关联安全角色相关的所有安全对象”配置了管理用户。

要修改分配的安全角色，请单击“安全角色”选项卡。

- 要为此管理用户分配其他安全角色，请单击“添加”，选中要分配的每个其他安全角色的复选框，然后单击“确定”。

- 要删除安全角色，请从列表中选择一个或多个安全角色，然后单击“删除”。

要修改安全对象行为，请单击“安全作用域”选项卡，并为安全对象行为选择新选项。 更改此配置之后，请参考相应的过程来了解为此管理用户配置安全作用域和集合以及安全角色的进一步指引。

注意
如果安全对象行为设置为“与其关联安全角色相关的所有安全对象”，你将无法添加或删除特定安全作用域和集合。

单击“确定”完成此过程。

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“管理用户”。

选择要修改的管理用户。

在“主页”选项卡上的“属性”组中，单击“属性”。

单击“安全作用域”选项卡，确认已针对“仅指定安全作用域或集合中的安全对象”配置了用户。

要修改分配的安全角色，请单击“安全角色”选项卡。

- 要为此用户分配其他安全角色，请单击“添加”，选中要分配的每个其他安全角色的复选框，然后单击“确定”。

- 要删除安全角色，请从列表中选择一个或多个安全角色，然后单击“删除”。

要修改与安全角色关联的安全作用域和集合，请单击“安全作用域”选项卡。

- 要将新的安全作用域或集合与分配给此管理用户的所有安全角色关联，请单击“添加”并选择四个选项之一。 如果选择“安全作用域”或“集合”，请选中一个或多个对象的复选框以完成该选择，然后单击“确定”。

- 要删除安全作用域或集合，请选择对象，然后单击“删除”。

单击“确定”完成此过程。

在 配置管理器 控制台中，单击“管理”。

在“管理”工作区中，展开“安全”，然后单击“管理用户”。

选择要修改的管理用户。

在“主页”选项卡上的“属性”组中，单击“属性”。

单击“安全作用域”选项卡，确认已针对“仅指定安全作用域或集合中的安全对象”配置了管理用户。

要修改分配的安全角色，请单击“安全角色”选项卡。

- 要为此管理用户分配其他安全角色，请单击“添加”。 在“添加安全角色”对话框上，选择一个或多个可用安全角色，单击“添加”，并选择要与所选安全角色关联的对象类型。 如果选择“安全作用域”或“集合”，请选中一个或多个对象的复选框以完成该选择，然后单击“确定”。

  <div class="alert">

  <table>
  <colgroup>
  <col style="width: 100%" />
  </colgroup>
  <thead>
  <tr class="header">
  <th><img src="images/Hh221349.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />注意</th>
  </tr>
  </thead>
  <tbody>
  <tr class="odd">
  <td><p>你至少必须配置一个安全作用域，然后才能将所选安全角色分配给管理用户。 如果选择多个安全角色，则配置的每个安全作用域和集合将与每个所选的安全角色关联。</p></td>
  </tr>
  </tbody>
  </table>

  </div>

- 要删除安全角色，请从列表中选择一个或多个安全角色，然后单击“删除”。

要修改与特定安全角色关联的安全作用域和集合，请单击“安全作用域”选项卡，选择安全角色，然后单击“编辑”。

- 要将新对象与此安全角色关联，请单击“添加”，并选择要与所选安全角色关联的对象类型。 如果选择“安全作用域”或“集合”，请选中一个或多个对象的复选框以完成该选择，然后单击“确定”。

  <div class="alert">

  <table>
  <colgroup>
  <col style="width: 100%" />
  </colgroup>
  <thead>
  <tr class="header">
  <th><img src="images/Hh221349.s-e6f6a65cf14f462597b64ac058dbe1d0-system-media-system-caps-icon-note(SC.12).jpeg" title="System_CAPS_note" alt="System_CAPS_note" />注意</th>
  </tr>
  </thead>
  <tbody>
  <tr class="odd">
  <td><p>你至少必须配置一个安全作用域。</p></td>
  </tr>
  </tbody>
  </table>

  </div>

- 要删除与此安全角色关联的安全作用域或集合，请选择对象，然后单击“删除”。

- 完成修改关联对象的操作之后，单击“确定”。

单击“确定”完成此过程。

小心
如果安全角色向管理用户授予集合部署权限，则这些管理用户可从他们具有对象“读取” 权限的任何安全作用域中分发对象，即使该安全作用域与其他安全角色关联。