本文為機器翻譯文章。如需檢視英文版,請選取 [原文] 核取方塊。您也可以將滑鼠指標移到文字上,即可在快顯視窗顯示英文原文。
譯文
原文

SharePoint 2013 的安全性群組概觀

 

適用版本:SharePoint Foundation 2013, SharePoint Server 2013

上次修改主題的時間:2014-05-20

摘要:SharePoint 2013 群組的概觀。

如果您將權限等級指派給群組而非個別使用者,則可以更有效率地管理 SharePoint 網站的使用者。SharePoint 群組是一組個別的使用者,其中可能也包括 Active Directory 網域服務 (AD DS) 群組。

本文內容:

在 AD DS 中,常使用下列群組以組織使用者:

  • 通訊群組   只用於電子郵件通訊但無安全性功能的群組。通訊群組無法列在用於定義資源及物件權限的判別存取控制清單 (DACL) 中。

  • 安全性群組   可列在 DACL 中的群組。安全性群組也可用為電子郵件實體。

您可利用將安全性群組新增到 SharePoint 群組,並授與 SharePoint 群組權限的方式,來使用安全性群組以控制網站的權限。雖無法新增通訊群組至 SharePoint 群組,但可以展開通訊群組,並將個別成員新增至 SharePoint 群組。若使用此方法,您必須手動保持 SharePoint 群組與通訊群組的同步處理。若使用安全性群組,就不需要管理 SharePoint 應用程式中的個別使用者。因為您已將安全性群組本身包含在內,而不是包含群組的個別成員,所以 AD DS 會替您管理使用者。

注意事項 附註:
為便於進行安全性管理,當您管理 AD DS 群組時,不建議執行下列項目:
  • 直接指派權限等級給 AD DS 群組。

  • 新增含有巢狀安全性群組、連絡人或通訊群組清單的安全性群組。

新增安全性群組至 SharePoint 群組可提供群組及安全性的集中管理。您應該僅在安全性群組中管理個別使用者。一旦您新增安全性群組至 SharePoint 群組,即無須在該 SharePoint 群組中管理安全性群組成員。若從安全性群組中移除使用者,使用者即會自動從 SharePoint 群組中移除。

不過,SharePoint 網站中的安全性群組仍會有些盲點。例如,為特定網站新增安全性群組至 SharePoint 群組時,網站不會出現在使用者的「我的網站」中。而使用者資訊清單只有當使用者使用過網站後,才會顯示個別使用者。此外,若安全性群組的巢狀結構較深,就可能會讓 SharePoint 網站無法使用。

若要考慮上述的優缺點,您可參考下列建議:

  • 針對使用者可廣泛存取的內部網路網站,請使用安全性群組,因為您不需要管理存取內部網路網站首頁的個別使用者。

  • 針對少數使用者存取的共同作業網站,則直接新增使用者至 SharePoint 群組。因為在此案例中,通常比較需要知道成員是誰,以便群組成員知道彼此的電子郵件地址及互相連絡的方式。

每個組織設定其安全性群組的方式都不相同。若要以更簡單的方式管理權限,安全性群組應:

  • 具有足夠的規模與穩定性,使您不需要經常新增其他安全性群組至 SharePoint 網站。

  • 規模不致於過大,如此您才可以指定適當的權限。

例如,名稱為「2 號大樓的所有使用者」的安全性群組,規模可能太大而無法指派權限,除非 2 號大樓的所有使用者都擁有相同的工作職責,例如應收帳款帳務人員。但是這種狀況非常少見。因此,您應尋找一組人數較少且更特定的使用者,例如「應收帳款」。

若希望網域內的所有使用者都能夠檢視網站上的內容,請考慮授與所有已驗證的使用者存取權 (亦即 Domain Users Windows 安全性群組)。此特殊群組可讓網域中所有成員存取網站 (依照所選擇的權限等級),而不需要您啟用匿名存取。

您可以啟用匿名存取,讓使用者以匿名方式檢視網頁。大部分的網際網路網站都允許匿名檢視網站,但若有人想要編輯網站或在購物網站購買商品,即可能會要求驗證。匿名存取是預設為停用,且必須在建立 Web 應用程式時,於 Web 應用程式層級授與。

若啟用 Web 應用程式的匿名存取,則網站管理員可決定是否授與網站或任何該網站內容的匿名存取。

匿名存取依存於網頁伺服器上的匿名使用者帳戶。此帳戶是由 Internet Information Services (IIS) 建立及維護,而非 SharePoint 網站。根據 IIS 的預設,匿名使用者帳戶為 IUSR。當您啟用匿名存取時,實際上是授與該帳戶存取 SharePoint 網站的權限。允許存取網站或存取清單及文件庫,即會將「檢視項目」權限授與匿名使用者帳戶。然而,即使具有「檢視項目」權限,匿名使用者能執行的作業仍有限制。匿名使用者無法:

  • 開啟網站以 Office SharePoint Designer 進行編輯。

  • 在 [網路上的芳鄰] 中檢視網站。

  • 上傳或編輯文件庫的文件,例如 wiki 文件庫。

    重要事項 重要事項:
    若要改善網站、清單或文件庫的安全性,請勿啟用匿名存取。匿名存取可讓使用者參與清單、討論區與問卷,而這有可能用盡伺服器磁碟空間以及其他資源。匿名存取也可以讓匿名使用者探索網站資訊,包括使用者電子郵件地址以及張貼任何內容至清單、文件庫與討論區。

「權限原則」提供集中的方式,來設定與管理只適用於 Web 應用程式中使用者或群組子集的一組權限。您可啟用或停用 Web 應用程式的匿名存取,以管理匿名使用者的權限原則。若您啟用 Web 應用程式的匿名存取,網站管理員即可授與或拒絕網站集合、網站或項目等級的匿名存取。若您停用 Web 應用程式的匿名存取,則匿名使用者就無法存取該 Web 應用程式中的任何網站。

  •    無任何原則。此為預設選項。網站匿名使用者不套用任何其他權限限制或新增。

  • 拒絕寫入   匿名使用者無法寫入內容,即使網站管理員特別嘗試授與匿名使用者帳戶該權限亦然。

  • 拒絕全部   匿名使用者沒有任何存取權限,即使網站管理員特別嘗試將其網站存取權授與匿名使用者帳戶亦然。如需關於權限原則的詳細資訊,請參閱<在 SharePoint 2013 中管理 Web 應用程式的權限原則>。

https://technet.microsoft.com/zh-tw/library/ff608071.aspx
顯示: