Vordefinierte Rollen

Reporting Services wird mit vordefinierten Rollen installiert, mit denen Sie den Zugriff auf Berichtsservervorgänge gewähren können. Jede vordefinierte Rolle beschreibt eine Auflistung verwandter Aufgaben. Sie können Gruppen und Benutzerkonten vordefinierten Rollen zuweisen, um den unmittelbaren Zugriff auf Berichtsservervorgänge bereitzustellen.

Verwenden vordefinierter Rollen

1. Überprüfen Sie die vordefinierten Rollen, um zu ermitteln, ob Sie sie unverändert verwenden können. Wenn Sie die Aufgaben anpassen oder zusätzliche Rollen definieren müssen, sollte dies erfolgen, bevor Sie den einzelnen Rollen Benutzer zuweisen.

2. Identifizieren Sie, für welche Benutzer und Gruppen der Zugriff auf den Berichtsserver erforderlich ist und auf welcher Ebene. Die meisten Benutzer sollten der Browser-Rolle oder der Berichts-Generator-Rolle zugewiesen werden. Eine kleinere Anzahl von Benutzern sollte der Verleger-Rolle zugewiesen werden. Inhalts-Manager sollten nur sehr wenige Benutzer zugewiesen werden.

3. Verwenden Sie den Berichts-Manager, wenn Sie bereit sind, Benutzer- und Gruppenkonten bestimmten Rollen zuzuweisen. Weitere Informationen finden Sie unter Gewähren von Benutzerzugriff auf einen Berichtsserver (Berichts-Manager).

Vordefinierte Rollendefinitionen

Vordefinierte Rollen werden durch die von ihnen unterstützten Aufgaben definiert. Sie können diese Rollen ändern oder durch benutzerdefinierte Rollen ersetzen.

Der Bereich definiert die Grenzen, innerhalb derer Rollen verwendet werden. Rollen auf Elementebene bieten verschiedene Ebenen des Zugriffs auf Berichtsserverelemente und -vorgänge, die sich auf diese Elemente auswirken. Rollen auf Elementebene werden für den Stammknoten (Stamm) und alle Elemente in der Ordnerhierarchie des Berichtsservers definiert. Rollen auf Systemebene autorisieren den Zugriff auf Websiteebene. Rollen auf Element- und Systemebene schließen sich gegenseitig aus, werden aber zusammen verwendet, um umfassende Berechtigungen für Berichtsserverinhalt und -vorgänge bereitzustellen.

In der folgenden Tabelle werden die vordefinierten Rollen, ihr Bereich und ihre Verwendung beschrieben.

Inhalts-Manager-Rolle

Die Inhalts-Manager-Rolle ist eine vordefinierte Rolle, die hilfreiche Aufgaben für einen Benutzer enthält, der Berichte und Webinhalt verwaltet, aber nicht notwendigerweise Berichte erstellt oder einen Webserver oder eine SQL Server-Instanz verwaltet. Ein Inhalts-Manager stellt Berichte bereit, verwaltet Berichtsmodelle und Datenquellenverbindungen und fällt Entscheidungen zur Verwendungsweise von Berichten. Für alle Aufgaben auf Elementebene wird standardmäßig die Inhalts-Manager-Rollendefinition ausgewählt.

Die Inhalts-Manager-Rolle wird häufig mit der Systemadministrator-Rolle verwendet. Zusammen ermöglichen die beiden Rollendefinitionen einen vollständigen Satz von Aufgaben für Benutzer, die einen vollständigen Zugriff auf alle Elemente auf einem Berichtsserver benötigen. Obwohl die Inhalts-Manager-Rolle vollständigen Zugriff auf Berichte, Berichtsmodelle, Ordner und andere Elemente in der Ordnerhierarchie bietet, ermöglicht sie keinen Zugriff auf Elemente oder Vorgänge auf Websiteebene. Aufgaben wie das Erstellen und Verwalten freigegebener Zeitpläne, das Festlegen von Servereigenschaften und das Verwalten von Rollendefinitionen sind Aufgaben auf Systemebene, die in der Systemadministrator-Rolle enthalten sind. Aus diesem Grund wird empfohlen, eine zweite Rollenzuweisung auf Websiteebene zu erstellen, mit der Zugriff auf freigegebene Zeitpläne bereitgestellt wird.

List of Role Definitions

Aufgaben des Inhalts-Managers

In der folgenden Tabelle sind die in der Inhalts-Manager-Rolle enthaltenen Aufgaben aufgeführt.

List of Role Definitions

Anpassen der Inhalts-Manager-Rolle

Diese Rolle ist für vertrauenswürdige Benutzer gedacht, die die allgemeine Verantwortung für das Verwalten und Warten des Berichtsserverinhalts tragen. Sie können zwar Aufgaben aus dieser Definition entfernen, aber dadurch ist möglicherweise nicht mehr eindeutig definiert, was verwaltet werden kann. Beispielsweise würde durch das Entfernen der Aufgabe "Berichte anzeigen" aus dieser Rollendefinition verhindert, dass ein Inhalts-Manager Berichtsinhalte anzeigen kann, wodurch Änderungen an Parametern und Einstellungen für Anmeldeinformationen nicht überprüft werden könnten.

Die Inhalts-Manager-Rolle wird für die Standardsicherheit verwendet. Weitere Informationen finden Sie unter Vordefinierte Rollen.

Verleger-Rolle

Die Verleger-Rolle ist eine integrierte Rollendefinition, die Aufgaben umfasst, mit denen Benutzer einem Berichtsserver Inhalt hinzufügen können. Diese Rolle ist vordefiniert. Sie wird erst verwendet, wenn Sie Rollenzuweisungen erstellen, in denen sie enthalten ist. Diese Rolle ist für Benutzer vorgesehen, die Berichte oder Modelle im Berichts-Designer oder Modell-Designer erstellen und diese Elemente dann auf einem Berichtsserver veröffentlichen.

Vorsicht

Die Berechtigung zum Veröffentlichen von Elementen auf einem Berichtsserver sollte nur vertrauenswürdigen Benutzern gewährt werden. Die Verleger-Rolle gewährt umfassende Berechtigungen, die es Benutzern ermöglichen, sämtliche Dateitypen auf einen Berichtsserver hochzuladen. Wenn ein hochgeladener Bericht oder eine hochgeladene HTML-Datei ein böswilliges Skript enthält, wird dieses von einem Benutzer, der auf den Bericht oder das HTML-Dokument klickt, unter dessen Anmeldedaten ausgeführt.

Berichtsdefinitionen können Skripts und andere Elemente enthalten, die für HTML-Injection-Angriffe anfällig sind, wenn der Bericht zur Laufzeit in HTML gerendert wird. Wenn ein veröffentlichter Bericht ein böswilliges Skript enthält, bewirkt ein Benutzer, der diesen Bericht ausführt, beim Öffnen des Berichts versehentlich das Ausführen des Skripts. Wenn der Benutzer über erweiterte Berechtigungen verfügt, wird das Skript mit diesen Berechtigungen ausgeführt.

Wenn Sie das Risiko, dass Benutzer böswillige Skripts versehentlich ausführen, vermindern möchten, begrenzen Sie die Anzahl der Benutzer, die über Berechtigungen zum Veröffentlichen von Inhalt verfügen. Stellen Sie außerdem sicher, dass die Benutzer nur Dokumente und Berichte aus vertrauenswürdigen Quellen veröffentlichen. Wenn Sie nicht sicher sind, ob eine Berichtsdefinition bedenkenlos veröffentlicht werden kann, sollen Sie die RDL-Datei in einem Text-Editor öffnen und nach Skripttags suchen. Ein böswilliges Skript kann in Ausdrücken und URLs (z. B. einer URL in einer Navigationsaktion) verborgen sein.

List of Role Definitions

Verlegeraufgaben

In der folgenden Tabelle werden die in der Verleger-Rolle eingeschlossenen Aufgaben aufgelistet.

List of Role Definitions

Anpassen der Verleger-Rolle

Sie können die Verleger-Rolle Ihren Anforderungen entsprechend ändern. Beispielsweise können Sie die Aufgabe "Verknüpfte Berichte erstellen" entfernen, wenn die Benutzer nicht in der Lage sein sollen, verknüpfte Berichte zu erstellen und zu veröffentlichen. Oder Sie fügen die Aufgabe "Ordner anzeigen" hinzu, damit die Benutzer in der Ordnerhierarchie navigieren können, um einen Speicherort für das neue Element auszuwählen.

Benutzer, die im Berichts-Designer Berichte veröffentlichen, benötigen mindestens die Aufgabe "Berichte verwalten", um dem Berichtsserver einen Bericht hinzufügen zu können. Wenn der Benutzer Berichte veröffentlichen muss, die freigegebene Datenquellen oder externe Dateien verwenden, sollten Sie auch die Aufgaben "Datenquellen verwalten" und "Ressourcen verwalten" einschließen. Damit der Benutzer beim Veröffentlichen auch einen Ordner erstellen kann, müssen Sie auch die Aufgabe "Ordner verwalten" einschließen.

List of Role Definitions

Browser-Rolle

Die Browser-Rolle ist eine vordefinierte Rolle, die hilfreiche Aufgaben für einen Benutzer enthält, der Berichte anzeigt, diese jedoch nicht notwendigerweise erstellt oder verwaltet. Diese Rolle ermöglicht grundlegende Funktionen für die konventionelle Verwendung eines Berichtsservers. Ohne diese Aufgaben kann es sich für Benutzer als schwierig erweisen, einen Berichtsserver zu verwenden.

Die Browser-Rolle sollte mit der Systembenutzer-Rolle verwendet werden. Zusammen ermöglichen die beiden Rollendefinitionen einen vollständigen Satz von Aufgaben für Benutzer, die mit Elementen auf einem Berichtsserver interagieren. Obwohl die Browser-Rolle den Sichtzugriff auf Berichte, Berichtsmodelle, Ordner und andere Elemente in der Ordnerhierarchie bietet, ermöglicht sie keinen Zugriff auf Elemente auf Websiteebene, z. B. freigegebene Zeitpläne, die beim Erstellen von Abonnements hilfreich sind. Aus diesem Grund wird empfohlen, eine zweite Rollenzuweisung auf Websiteebene zu erstellen, mit der Zugriff auf freigegebene Zeitpläne bereitgestellt wird.

Browseraufgaben

In der folgenden Tabelle sind die in der Browser-Rolle enthaltenen Aufgaben beschrieben.

List of Role Definitions

Anpassen der Browser-Rolle

Sie können die Browser-Rolle an Ihre speziellen Anforderungen anpassen. Beispielsweise können Sie die Aufgabe "Einzelne Abonnements verwalten" entfernen, damit keine Abonnements unterstützt werden. Oder Sie entfernen die Aufgabe "Ressourcen anzeigen", wenn Benutzern keine zusätzliche Dokumentation oder sonstigen auf den Berichtsserver hochgeladenen Elemente angezeigt werden sollen.

Diese Rolle sollte mindestens die Aufgaben "Berichte anzeigen" und "Ordner anzeigen" unterstützen, um die Anzeige und die Ordnernavigation zu ermöglichen. Sie sollten die Aufgabe "Ordner anzeigen" nur entfernen, wenn Sie die Ordnernavigation deaktivieren möchten. Entsprechend sollten Sie die Aufgabe "Berichte anzeigen" nur entfernen, wenn für Benutzer keine Berichte angezeigt werden sollen. Für diese Änderungen ist eine benutzerdefinierte Rollendefinition erforderlich, die selektiv für eine bestimmte Benutzergruppe angewandt wird.

List of Role Definitions

Berichts-Generator-Rolle

Die Berichts-Generator-Rolle ist eine vordefinierte Rolle, die Aufgaben zum Laden von Berichten im Berichts-Generator sowie zum Anzeigen der Ordnerhierarchie und zum Navigieren in der Hierarchie einschließt. Zum Erstellen und Ändern von Berichten im Berichts-Generator müssen Sie zudem über eine Systemrollenzuweisung verfügen, die die Aufgabe "Berichtsdefinitionen ausführen" einschließt, die für die lokale Verarbeitung von Berichten im Berichts-Generator erforderlich ist.

Berichts-Generator-Aufgaben

In der folgenden Tabelle sind die Aufgaben beschrieben, die die Berichts-Generator-Rolle einschließt.

List of Role Definitions

Anpassen der Berichts-Generator-Rolle

Sie können die Berichts-Generator-Rolle an Ihre speziellen Anforderungen anpassen. Die Empfehlungen entsprechen im Wesentlichen den Empfehlungen für die Browser-Rolle: Entfernen Sie die Aufgabe "Einzelne Abonnements verwalten", wenn Abonnements nicht unterstützt werden sollen, entfernen Sie die Aufgabe "Ressourcen anzeigen", wenn Ressourcen für die Benutzer nicht sichtbar sein sollen, und behalten Sie die Aufgaben "Berichte anzeigen" und "Ordner anzeigen" bei, um das Anzeigen von und Navigieren in Ordnern zu unterstützen.

Die wichtigste Aufgabe in dieser Rollendefinition ist die Aufgabe "Berichte lesen", die es einem Benutzer ermöglicht, eine Berichtsdefinition vom Berichtsserver in eine lokale Berichts-Generator-Instanz zu laden. Wenn diese Aufgabe nicht unterstützt werden soll, können Sie diese Rollendefinition löschen und stattdessen die Browser-Rolle verwenden, da diese den allgemeinen Zugriff auf einen Berichtsserver unterstützt.

List of Role Definitions

Meine Berichte-Rolle

Die Meine Berichte-Rolle ist eine vordefinierte Rolle, die eine Reihe von Aufgaben einschließt, die für Benutzer der Funktion "Meine Berichte" hilfreich sind. Zu dieser Rollendefinition gehören Aufgaben, die Benutzern Administratorrechte für die den eigenen Ordner Meine Berichte gewähren.

Sie können zwar eine andere Rolle für die Funktion Meine Berichte auswählen, aber es wird empfohlen, eine Rolle ausschließlich für die Sicherheit von Meine Berichte zu verwenden. Weitere Informationen finden Sie unter Sichern von Meine Berichte.

List of Role Definitions

Aufgaben in Meine Berichte

In der folgenden Tabelle sind die Aufgaben aufgeführt, die die Meine Berichte-Rolle einschließt.

List of Role Definitions

Anpassen der Meine Berichte-Rolle

Sie können diese Rolle an Ihre speziellen Anforderungen anpassen. Es wird jedoch empfohlen, die Aufgaben Berichte verwalten und Ordner verwalten beizubehalten, um eine grundlegende Inhaltsverwaltung zu ermöglichen. Darüber hinaus sollte diese Rolle alle anzeigebasierten Aufgaben unterstützen, damit Benutzer Ordnerinhalte anzeigen und die verwalteten Berichte ausführen können.

Die Aufgabe "Sicherheit für einzelne Elemente festlegen" ist zwar standardmäßig nicht Bestandteil der Rollendefinition, aber Sie können diese Aufgabe zur Meine Berichte-Rolle hinzufügen, damit die Benutzer Sicherheitseinstellungen für Unterordner und Berichte anpassen können.

List of Role Definitions

Systemadministrator-Rolle

Die Systemadministrator-Rolle ist eine vordefinierte Rolle mit Aufgaben, die für einen Berichtsserveradministrator hilfreich sind, der die allgemeine Verantwortung für einen Berichtsserver trägt, jedoch nicht notwendigerweise für den Inhalt auf dem Berichtsserver.

Wenn Sie eine Rollenzuweisung erstellen möchten, die diese Regel umfasst, verwenden Sie die Seite Siteeinstellungen im Berichts-Manager, oder verwenden Sie die Befehle, die durch Klicken mit der rechten Maustaste für den Berichtsserverknoten in Management Studio angezeigt werden.

Die Systemadministrator-Rolle vermittelt nicht denselben vollen Umfang an Berechtigungen, die ein lokaler Administrator möglicherweise für einen Computer besitzt. Die Systemadministrator-Rolle umfasst vielmehr Vorgänge, die auf Websiteebene und nicht auf Elementebene ausgeführt werden. Erstellen Sie für Benutzer, für die der Zugriff auf siteweite Vorgänge und auf Elemente erforderlich ist, die auf dem Berichtsserver gespeichert sind, eine zweite Rollenzuweisung für den Ordner Home, die die Inhalts-Manager-Rolle umfasst. Zusammen bieten die beiden Rollendefinitionen eine vollständige Menge Tasks für Benutzer, für die der vollständige Zugriff auf alle Elemente auf einem Berichtsserver erforderlich ist.

List of Role Definitions

Systemadministratoraufgaben

In der folgenden Tabelle werden die in der Systemadministrator-Rolle enthaltenen Aufgaben aufgelistet.

Die Systemadministrator-Rolle wird für die Standardsicherheit verwendet. Weitere Informationen finden Sie unter Vordefinierte Rollen.

List of Role Definitions

Systembenutzer-Rolle

Die Systembenutzer-Rolle ist eine vordefinierte Rolle mit Aufgaben, mit denen Benutzer grundlegende Informationen zum Berichtsserver anzeigen können. Sie unterstützt außerdem das Laden eines Berichts im Berichts-Generator. Beim Berichts-Generator handelt es sich um eine Clientanwendung, die einen Bericht unabhängig von einem Berichtsserver verarbeiten kann. Die Aufgabe "Berichtsdefinitionen ausführen" ist zum Verwenden mit dem Berichts-Generator gedacht. Wenn Sie den Berichts-Generator nicht verwenden, können Sie diese Aufgabe aus der Systembenutzer-Rolle entfernen. In der folgenden Tabelle sind die in der Systembenutzer-Rollendefinition enthaltenen Aufgaben aufgelistet.

List of Role Definitions

Systembenutzeraufgaben

Mithilfe der Systembenutzer-Rolle kann die Standardsicherheit ergänzt werden. Sie können die Rolle in neuen Rollenzuweisungen verwenden, die den Berichtsserverzugriff auf Berichtsbenutzer erweitern. Weitere Informationen finden Sie unter Vordefinierte Rollen.

List of Role Definitions

Siehe auch

Aufgaben

Erstellen, Löschen oder Ändern einer Rolle (Management Studio)

Gewähren von Benutzerzugriff auf einen Berichtsserver (Berichts-Manager)

Ändern oder Löschen einer Rollenzuweisung (Berichts-Manager)

Konzepte

Erteilen von Berechtigungen für einen Berichtsserver im einheitlichen Modus

Aufgaben und Berechtigungen