---

• 如何将安全要素分配给安全对象

• 层次结构和继承

---

作为网站所有者，创建网站或网站分组的权限结构时，您应当在便于管理和控制每个安全对象的指定权限的需求之间掌握好平衡。对于任何网站，按照最低权限的原则授予网站访问权限这一点都非常重要。

为达到最易于管理的目的，请先使用标准 SharePoint 组（其中包括网站名称 Owners、网站名称 Members 和网站名称 Visitors）并分配网站级别的权限。 建议将大部分用户作为网站名称 Visitors 或网站名称 Members SharePoint 组的成员。请不要将全部用户都添加为网站名称 Owners SharePoint 组的成员。默认情况下，网站成员可以参与网站、添加或删除项目或文档，但不能更改网站的结构或者更改网站设置或外观。如果需要更好地控制用户可执行的操作，可以创建其他 SharePoint 组。

如果有特定的列表、库、列表或库内的文件夹、列表项目或文档，其中包含必须具有更高安全性的敏感数据，可以使用细化权限对特定 SharePoint 组或单个用户进行授权。但是，请注意，管理细化权限的任务可能非常费时。

如何将安全要素分配给安全对象

可以向用户和 SharePoint 组（其中包含用户）授予安全对象（如网站、列表、库、列表或库内的文件夹、项目或文档）的特定权限。由于直接维护用户帐户的效率很低，因此请尽可能多地使用 SharePoint 组来管理用户。

下图显示了如何为用户和 SharePoint 组分配网站或 SharePoint 网站中安全对象上的特定权限级别。

* 单个用户可以直接分配权限，不必是 SharePoint 组的成员。

请注意，系统将在特定安全对象上创建权限分配。此权限分配包括用户或 SharePoint 组以及权限级别。每个权限级别都有一组特定的权限。

可以为不同的用户和 SharePoint 组分配特定网站、列表、库、列表或库内的文件夹、列表项目或文档的不同权限级别。每个用户或 SharePoint 组可以具有不同安全对象的不同权限级别。

• 任何人只要具有“管理权限”的权限就可以创建 SharePoint 组和分配整个网站的权限级别。但是，请注意，他们可能无法向 SharePoint 组添加用户或域组或者从中删除用户或域组。默认情况下网站集管理员和网站所有者拥有此权限。
• 通过添加或删除用户或 SharePoint 组，或者更改用户或 SharePoint 组的权限级别，列表或库管理员可为列表或库（或者列表或库内的文件夹）指定各种限制性权限。
• 通过添加或删除用户或 SharePoint 组，或者更改用户或 SharePoint 组的权限级别，列表项目或文档的创建者可为项目或文档指定各种限制性权限。

 返回页首

层次结构和继承

默认情况下，列表、库、列表或库内的文件夹、项目和文档上的权限是从其父网站继承的。但是，通过编辑层次结构中级别较低的任一安全对象上的权限（即创建独有权限分配），可以断开该安全对象的继承。例如，可以编辑文档库的权限，从而断开从网站的继承。

网站本身即是一个可在其上分配权限的安全对象。可以对子网站进行配置，使其从父网站继承权限或断开继承并创建特定网站的独有权限。继承权限是管理一组网站最为简便的方法。但是，如果子网站从其父网站继承权限，则该组权限是共享的。

 注意   子网站从父网站继承权限，则子网站所有者可以编辑父网站的权限。 请确保对父网站上权限所做的任何更改都适用于父网站以及所有继承这些权限的子网站。

下图显示了一个网站集层次结构，其中包含顶级网站和从父网站继承权限的子网站，以及一个具有独有权限的子网站。

在图中，子网站 1 从顶级网站继承权限。这意味着在顶级网站上对 SharePoint 组和权限级别所做的更改也会影响子网站 1。

子网站 2 也从其父网站（子网站 1）继承权限。但是，由于子网站 1 同样是从其父网站继承权限，因此在顶级网站上对 SharePoint 组和权限级别所做的更改也会影响子网站 2。这是因为您不能管理继承权限的子网站上的权限。相反，您可以管理父网站（即子网站 1 和子网站 2 的顶级网站）的权限或断开继承并创建独有权限。

请注意，子网站 3 具有独有权限。这意味这它不从父网站继承权限。因此，对子网站 3 上的权限级别和 SharePoint 组所做的任何更改都不会影响其父网站。由于子网站 4 从子网站 3 继承权限，子网站 3 上的权限级别和 SharePoint 组的任何更改会对两个网站都产生影响。

每个网站都包含附加安全对象，这些安全对象在网站层次结构中具有特定位置，如下图所示。

级别较低的安全对象自动从其父对象继承权限。例如，列表或库从网站继承权限，列表项目和文档从列表、库或其所属的文件夹继承权限。可以在层次结构中的任意点断开继承并分配独有权限。断开从父对象的继承时，断开继承处的安全对象会收到父对象权限的副本。然后可以对这些权限进行编辑，使其成为独有权限 - 意味着对该安全对象上的权限所做的任何更改都不会影响父对象。 

制定权限继承计划

不管什么时候，只有在网站级别才最易于管理权限。这意味着创建网站层次结构的方式应允许为网站分配权限，这些权限适用于该网站内包含的所有安全对象，如列表、库、列表或库内的文件夹、文档以及项目。虽然可在网站层次结构中的任何安全对象上分配独有权限，但这样做比继承权限要更为烦琐。如果网站内的某些列表或库应用了细化权限，还有一些网站，其中的子网站有的具有独有权限有的具有继承的权限，这时操作将变得更为费力。请尽可能多地排列网站、子网站、列表和库，这样它们可最大程度地继承权限。将敏感数据放入单独的子网站、列表、库等。

例如，使用以下示例所示的层次结构，而不是将敏感数据和非敏感数据混在同一网站、列表和库中，这样将使权限管理更为简便。

• 网站 A  组主页
• 列表 A  非敏感数据（继承的权限）
• 文档库 A  非敏感数据（继承的权限）
• 子网站 B  敏感数据（独有权限）
• 列表 B  敏感数据（独有权限）
• 文档库 B  敏感数据（独有权限）

请注意，网站 A 中的列表和库包含非敏感数据，并在网站 A 之下创建了子网站 B，其中包含用于存储敏感数据的列表和库。在这种情况下，可以将适用于列表 A 和文档库 A 的权限分配给网站 A 并在子网站 B 上创建独有权限，该权限适用于列表 B 和文档库 B。

 返回页首