分类： 系统运维
2008-10-24 15:30:22
设置网站后，需要使用一种方式来指定谁能访问它。对于典型的 网站，您可能希望每一个进入这个网站的人都能够查看内容，但是不希望他们能够更改内容。而对于一个公司的 网站而言，您可能希望由一小部分人控制网站的结构，但是更多的人能够添加新内容或参与用户组日历或。对于 而言，您则可能希望小心地控制哪些人能够查看整个网站。总而言之，对网站的访问权限是通过将用户帐户和某种权限结构相结合的方式来进行控制的，该权限结构控制用户可以执行的特定操作。
Microsoft Windows SharePoint Services 通过以下几种方法提供控制网站访问权限的能力：
可以指定哪些用户能够在网站中执行特定操作。例如，某个用户是“讨论参与者”网站用户组的成员，那么他可以向 Windows SharePoint Services 列表添加内容，例如任务列表或。
您可以启用匿名访问来允许用户匿名向列表或调查中投稿，或者匿名查看网页。大多数的 Internet 网站允许匿名查看网站，但是在某人想要编辑网站或在购物网站上购买物品时要求身份验证。
注释 您也可以向“所有验证用户”授予权限，使域内的所有成员不必启用匿名访问即可访问网站。
您可以通过基于每个列表设置唯一权限来精确地管理权限。例如，如果有一个文档库包含下一财年的敏感财务数据，您可以限制对该列表的访问，使得只有适当的用户才能够查看。每列表权限覆盖列表中通用于网站范围的权限。
既可以使用与父网站相同的权限（继承父网站上可用的网站用户组和用户），也可使用独有权限（这样就可以创建自己的用户帐户并将它们添加到网站用户组中）。
一共有两种权限来控制用户是否能够创建、子网站或：使用自助式网站创建和创建子网站。
Windows SharePoint Services 使用网站用户组来管理网站范围的安全性。每个用户至少是一个网站用户组的成员。每一个网站用户组都拥有相应的权限。权限是用户能够执行的操作，例如“管理列表”。通过 Windows SharePoint Services，您可以使用下面的默认网站用户组：“来宾”、“读者”、“讨论参与者”、“网站设计者”和“管理员”。此外，Windows SharePoint Services 使您可以编辑分配给网站用户组的权限、创建新的网站用户组或删除未使用的网站用户组。您可以在 Windows SharePoint Services 中使用 HTML 管理页或命令行管理工具来管理网站用户组。请注意，不可以更改分配给“来宾”和“管理员”网站用户组的权限，也不可以直接将用户分配至“来宾”网站用户组。
注释 将用户帐户添加到网站中，而不将其分配至网站用户组是可能的。例如，如果要为网站创建新的用户帐户，您可以创建这个用户帐户，然后在晚些时候再将用户分配给网站用户组。您也可以将成员从所有的网站用户组中删除。但是，没有分配给任何网站用户组的用户没有访问网站的权限。
Windows SharePoint Services 默认包含下列网站用户组：
注释 的所有者和第二所有者都是“管理员”网站用户组的成员，但是他们在 中还是作为网站集的不同所有者分别标识的。要更改此所有者标志，只能通过管理中心中的“管理网站集所有者”页，或者使用 Stsadm.exe 执行 siteowner 操作来实现。如果从“管理员”网站用户组中删除网站的所有者，该所有者仍然在数据库中保留所有者标志，而且可以继续执行网站管理任务。
这些网站用户组每个网站进行定义。分配至“管理员”网站用户组的用户仅仅是特定网站的管理员。要执行能够影响到服务器计算机上所有网站和的设置的任何操作，用户必须是服务器计算机上的管理员（也称作本地机器管理员），或者是 SharePoint 管理员组的成员，而不能是网站的“管理员”网站用户组的成员。
要查看用户权限的完整列表以及在每个网站用户组中默认的权限，请参见。
您可以新建网站用户组或自定义现有网站用户组（“来宾”和“权限”网站用户组除外，因为他们不能自定义），使其仅包含您需要的权限。例如，如果希望只有网站设计者能够编辑网站中的列表，您可以从“讨论参与者”网站用户组中删除“编辑项目”权限。
某些权限依赖于其他权限。您在编辑项目之前必须能够查看项目。如果某个权限从网站用户组中删除，则任何依赖于该权限的权限也将被删除。例如，删除“查看项目”权限后，“添加项目”、“编辑项目”以及“删除项目”权限也将删除。同样，如果添加了需要其他权限的权限，所需的权限也将添加。所以，如果授予用户“编辑项目”的权限，“查看项目”权限将会自动授予。
注释 有关用户权限中的依赖性的详细信息，请参见。
用户权限赋予用户对网站执行特定操作的能力，同时限制其他用户执行这些操作。某些权限不能完全限制特定的操作。“应用主题和边框”和“应用样式表”权限使用户可以更改整个网站。但是任何拥有“添加和自定义网页”权限的用户都可以在实际的 HTML 代码中逐页地执行相同的更改。请注意，如果赋予用户“添加和自定义网页”的权限（通过将他们分配至包含此权限的网站用户组中），则同时赋予了他们更改网站中单个网页的主题、边框和样式表的能力。
向网站用户组分配权限时，请确保指定了适当的权限，而不要无心地允许该网站用户组的成员对网站执行额外的操作。相反地，请确保没有无心地限制网站用户组的成员执行他们需要执行的操作。
您可以使用网站的网站管理页管理网站用户组。要管理网站用户组，请单击网站管理页上的“管理网站用户组”来打开“管理网站用户组”页。在此页上可以查看网站用户组列表、更改网站用户组中包含的权限、添加新的网站用户组或删除网站用户组。
网站的可用网站用户组将显示在“管理网站用户组”页中。
您可以在“管理网站用户组”页中为您的网站添加新的网站用户组。
您可以基于现有的网站用户组创建新的网站用户组，还能够将现有网站用户组的成员复制到新的网站用户组中。
您也可以编辑现有的网站用户组，以更改分配至该网站用户组的权限。
如果发现未使用的网站用户组，可以将其删除。
您可以在 Windows SharePoint Services 的命令行中使用 enumroles 操作来查看网站用户组列表。此操作使用 -url 参数，这样就只会列出该 的网站用户组的名称，以使您在为用户分配权限时使用正确的网站用户组名称。例如，要查看位于 的网站的用户组列表，您可以输入下面的命令：
stsadm -o enumroles -url
Windows SharePoint Services 提供了以每个列表为基础控制权限的能力。如果在列表中存储了敏感的信息，而您不希望将这些信息暴露给网站中的所有成员，则可以仅为该列表设置权限，以控制哪些用户能够在该列表中查看、编辑或添加项目。您可以将对列表或文档库的权限授予单个用户、用户组或网站用户组。每列表权限适用于基于 Windows SharePoint Services 的网站内的任意列表或文档库（例如，通知、任务、共享文档等）。
列表权限可以由拥有“管理列表权限”权限（默认情况下包括在“管理员”网站用户组中）或对该列表拥有“完全控制”权限的任何用户所更改。默认情况下，网站的所有成员（分配至某一个网站用户组的所有用户，“来宾”网站用户组除外）都能够访问该网站上的所有列表和文档库。默认的列表权限有：
此外，您可以设置高级权限，在高级权限中可以为用户和和网站用户组赋予下列任何权限：
注释 “管理员”网站用户组的成员始终拥有对所有列表和文档库最高级别的权限。您不可以更改“管理员”网站用户组的列表或文档库权限。另外，即使无法直接查看列表的内容，任何拥有“查看列表项目”权限的网站用户组（例如“读者”）还是能够继续查看列表的名称、说明、项目的数量以及上次修改列表的时间。
要控制列表的权限，请转到该列表本身或转到列表的“自定义‘列表名称’”页。
“更改权限：‘列表名称’”页显示了对列表有访问权限的用户和组，同时显示了每个用户和组所分配的权限级别。
您可以通过修改特定网站用户组的权限来更改该网站用户组内所有成员的列表权限。
例如，单击“网站设计者”旁边的复选框更改“网站设计者”网站用户组中所有成员的权限。
您也可以给单个用户或用户组授予权限，而不是给网站用户组的所有成员进行授权。请记住，如果授予用户或用户组对网站中特定列表的权限，如果这些用户或用户组还不是网站的成员，则他们将添加到“来宾”网站用户组中。请注意，除非将确切的网页 URL 给予“来宾”网站用户组的成员，否则他们无法转到网站内的网页。
如果希望将列表限制为仅有特定用户集有权限，您必须分别对各个用户授予权限，同时删除其他网站成员的权限。
如果不再希望使用特定列表的唯一权限，您可以重置权限，以使用网站的常规权限。
注释 除非已经自定义列表权限，否则“从父网站继承权限”链接不会显示。
如果希望所有 Intranet 验证用户都能够访问网站，您可以将网站配置为允许网络上的所有用户有权使用网站，而不是分别添加每一个用户或用户组。您还可以指定将何种网站用户组（“读者”或“讨论参与者”）指定给所有验证用户。
如果希望用户能够匿名访问您的网站，您可以将网站配置为允许匿名访问。匿名访问用于使用户能在没有验证（标准的 Internet 操作方式）的前提下查看网站、匿名地回答调查，或者甚至匿名地访问列表或文档库。
匿名访问依赖于 上的匿名用户帐户。此帐户由 Web 服务器（）创建并维护，而不是通过 Windows SharePoint Services。在 IIS 上，匿名用户帐户通常为 IUSR_ComputerName。在 Windows SharePoint Services中启用匿名访问之后，即意味着已经在网站上启用了该用户帐户。
匿名访问在默认情况下是禁用的，而且在网站级别进行控制。如果希望允许匿名访问（例如对某个 Internet 网站，您希望访问者能够在不经身份验证的情况下访问网站），您必须通过给匿名用户分配权限的方法来启用匿名访问。要启用匿名访问，必须首先确保 IIS 已经配置为允许匿名访问，然后才可以在您的网站的网站管理页中启用匿名访问。
将出现“身份验证方法”对话框。
需要重新启动 IIS 才能使更改生效。在 IIS 中为虚拟服务器启用匿名访问后，就可以为特定的顶级网站启用匿名访问了。
您可以通过使用“管理匿名访问”页控制整个网站的匿名访问，或者也可以通过使用每列表权限功能控制针对特定列表的匿名访问。如果对网站禁用了匿名访问，则不能为网站内的特定列表启用匿名访问。
注释 如果 Internet 信息服务 (IIS) 未配置为允许匿名访问，这些复选框将不可用。
创建子网站时，您可以选择是从父网站继承权限，还是为子网站创建唯一权限。因您所作的选择不同，产生的结果也会不同：
如果将子网站设置为唯一权限，但却发现其实需要的是与父网站共享权限，您可以切换为继承权限。但是，进行这种切换有一些缺点，例如：
您也可以从使用继承权限切换到使用独有权限。这种变换更为容易。当前权限将在进行切换时复制，而且连接到父网站的权限结构的链接将打破。从此时开始，作出的任何权限更改都将仅影响子网站。从继承权限向唯一权限切换时，每列表权限将完整无损。
注释 在两种权限模型中进行切换时会产生某些奇怪的现象。例如，任何拥有“创建子网站”权限的用户能够创建子网站，在默认情况下，这种权限仅为“管理员”网站用户组所有，但是如果将其分配至另外的网站用户组中，该用户组的成员能够使用独有权限创建子网站，然后成为该新子网站的管理员。如果这样的用户随后选择切换到使用父网站的权限，他将不再是子网站的管理员。
您可以使用网站管理页将子网站切换到其他的权限模型。
如果您希望恢复到父网站使用的相同的权限，您也可以使用“HTML 管理”页进行更改。
默认情况下，当“自助式网站创建”启用后，“读者”、“讨论参与者”、“网站设计者”和“管理员”网站用户组的所有成员都将拥有“自助式网站创建”的权限。他们可以使用此权限，通过“创建网站”页在虚拟服务器上创建顶级网站。另一个权限，“创建子网站”权限，默认情况下仅对“管理员”网站用户组的成员可用。此权限允许用户从“创建网页”或“管理网站和工作区”页创建子网站或“工作区”网站。
控制哪些用户拥有“自助式网站创建”权限可以通过在网站用户组中更改权限来实现。通过更改哪些网站用户组拥有“创建子网站”权限，或通过使用“网站设置”中的“配置网站和工作区创建”页，可以控制哪些用户能够创建网站和“工作区”网站。您必须是网站的“管理员”网站用户组的成员才能控制这些权限。