選擇安全性群組 (SharePoint Server 2010)

適用版本： SharePoint Foundation 2010, SharePoint Server 2010

上次修改主題的時間： 2016-11-30

本文說明 Active Directory® 網域服務 (ADDS) 中組成的安全性與通訊群組。本文也提供使用這些群組以組織 SharePoint 網站使用者的建議。

本文內容：

• 決定是否要新增安全性群組

• 決定用來授與網站存取權的安全性群組

• 決定是否允許所有已驗證的使用者存取

• 決定是否允許匿名使用者存取

簡介

將權限等級指派給群組而非個別使用者，可便於管理 SharePoint 網站的使用者。SharePoint 群組是一組個別的使用者，其中可能也包括 Active Directory 群組。在 Active Directory 網域服務 (ADDS) 中，常使用下列群組以組織使用者：

• 通訊群組   只用於電子郵件通訊但無安全性功能的群組。通訊群組無法列在用於定義資源及物件權限的任意存取控制清單 (DACL) 中。

• 安全性群組   可列在 DACL 中的群組。安全性群組也可用為電子郵件實體。

您可利用將安全性群組新增到 SharePoint 群組，並授與 SharePoint 群組權限的方式，來使用安全性群組以控制網站的權限。雖無法新增通訊群組至 SharePoint 群組，但可以展開通訊群組，並將個別成員新增至 SharePoint 群組。若使用此方法，您必須手動保持 SharePoint 群組與通訊群組的同步處理。若使用安全性群組，就不需要管理 SharePoint 應用程式中的個別使用者。因為您已將安全性群組本身包含在內，而不是包含群組的個別成員，所以 ADDS 會替您管理使用者。

決定是否要新增安全性群組

新增安全性群組至 SharePoint 群組可提供群組及安全性的集中管理。您應該僅在安全性群組中管理個別使用者。一旦您新增安全性群組至 SharePoint 群組，您就不需在該 SharePoint 群組中管理安全性群組成員。若從安全性群組中移除使用者，使用者即會自動從 SharePoint 群組中移除。

不過，在 SharePoint 網站中使用安全性群組仍會有些盲點。例如，為特定網站新增安全性群組至 SharePoint 群組時，網站不會出現在使用者的「我的網站」中。而使用者資訊清單只有當使用者使用過網站後，才會顯示個別使用者。此外，若安全性群組的巢狀結構較深，就可能會讓 SharePoint 網站無法使用。

若要考慮上述的優缺點，您可參考下列建議：

• 針對使用者可廣泛存取的內部網路網站，請使用安全性群組，因為您不需要管理存取內部網路網站首頁的個別使用者。

• 針對少數使用者存取的共同作業網站，則直接新增使用者至 SharePoint 群組。因為這種案例中，通常比較需要知道成員是誰，以便群組成員知道彼此的電子郵件地址及互相連絡的方式。

決定用來授與網站存取權的安全性群組

每個組織設定其安全性群組的方式都不相同。若要以更簡單的方式管理權限，安全性群組應：

• 具有足夠的規模與穩定性，使您不需要經常新增其他安全性群組至 SharePoint 網站。

• 規模不致於過大，如此您才可以指定適當的權限。

例如，名稱為「2 號大樓的所有使用者」的安全性群組，規模可能太大而無法指派權限，除非 2 號大樓的所有使用者都擁有相同的工作職責，例如應收帳款帳務人員。但是這種狀況非常少見，因此您應尋找一組人數較少且更特定的使用者，例如「應收帳款」。

決定是否允許所有已驗證的使用者存取

若希望網域內的所有使用者都能夠檢視網站上的內容，請考慮授與所有已驗證的使用者存取權 (亦即 Domain Users Windows 安全性群組)。此特殊群組可讓網域中所有成員存取網站 (依照所選擇的權限等級)，而不需要您啟用匿名存取。

決定是否允許匿名使用者存取

您可以啟用匿名存取，讓使用者以匿名方式檢視網頁。大部分的網際網路網站都允許匿名檢視網站，但若有人想要編輯網站或在購物網站購買商品，即可能會要求驗證。匿名存取是預設為停用，且必須在建立 Web 應用程式時，於 Web 應用程式層級授與。

若啟用 Web 應用程式的匿名存取，則網站管理員可決定是否授與網站或任何該網站內容的匿名存取。

匿名存取依存於網頁伺服器上的匿名使用者帳戶。此帳戶是由 Microsoft Internet Information Services (IIS) 建立及維護，而非 SharePoint 網站。根據 IIS 的預設，匿名使用者帳戶為 IUSR。當您啟用匿名存取時，實際上是授與該帳戶存取 SharePoint 網站的權限。允許存取網站或存取清單及文件庫，即會將「檢視項目」權限授與匿名使用者帳戶。然而，即使具有「檢視項目」權限，匿名使用者能執行的作業仍有限制。匿名使用者無法：

• 開啟網站以 Microsoft Office SharePoint Designer 進行編輯。

• 在 [網路上的芳鄰] 中檢視網站。

• 上傳或編輯文件庫的文件，包括 wiki 文件庫。

  重要

  若要改善網站、清單或文件庫的安全性，請勿啟用匿名存取。啟用匿名存取可讓使用者參與清單、討論區與問卷，而這有可能用盡伺服器磁碟空間以及其他資源。匿名存取也可以讓匿名使用者探索網站資訊，包括使用者電子郵件地址以及張貼任何內容至清單、文件庫與討論區。

「權限原則」提供集中的方式，來設定與管理只適用於 Web 應用程式中使用者或群組子集的一組權限。您可啟用或停用 Web 應用程式的匿名存取，以管理匿名使用者的權限原則。若您啟用 Web 應用程式的匿名存取，網站管理員即可授與或拒絕網站集合、網站或項目層級的匿名存取。若您停用 Web 應用程式的匿名存取，則匿名使用者就無法存取該 Web 應用程式中的任何網站。

• 無   無任何原則。此為預設選項。網站匿名使用者不套用任何其他權限限制或新增。

• 拒絕寫入   匿名使用者無法寫入內容，即使網站管理員特別嘗試授與匿名使用者帳戶該權限亦然。

• 拒絕全部   匿名使用者沒有任何存取權限，即使網站管理員特別嘗試將其網站存取權授與匿名使用者帳戶亦然。

如需權限原則的詳細資訊，請參閱＜管理 Web 應用程式的權限原則 (SharePoint Server 2010)＞。