來源：https://msdn.microsoft.com/zh-cn/library/dd547204.aspx

對於有權訪問 Team Foundation Server (TFS) 中的團隊專案的使用者，你需要向他們授予訪問許可權。 如果你是小團隊的管理員，限制訪問許可權並不難，只需將團隊成員新增到 TFS 即可。

但是，如果需要向大量在團隊中執行不同角色的使用者授予訪問許可權，建議建立 Windows 或 Active Directory 組、將這些組新增到 TFS 組，新增相同組以將訪問許可權授予其他資源。

最後三個步驟為可選步驟。 如果你的團隊專案已配置有 SQL Server Reporting Services 或 SharePoint 網站，則只需授予報表或專案門戶許可權即可。

如果你需要確保許可權使用者擁有對特性和功能適當的訪問或許可權，瞭解 TFS 可通過三個相互連線的功能區域控制訪問許可權是很有幫助的：

• 訪問級別管理只能控制通過 TWA、TFS Web 應用程式提供的功能的訪問許可權。 基於其使用者許可證，管理員可以授予標準、完整或有限功能集的訪問許可權。 

• 成員資格管理支援將獨立 Windows 使用者帳戶和組新增到預設的 TFS 組。 此外，你還可以建立 TFS 組。 每個預設的 TFS 組都具與一組預設許可權關聯。 所有新增到任何 TFS 組的使用者都將新增到“有效使用者”組。

   有效使用者是指可以連線到團隊專案的任何人。

• 許可權管理可控制處於系統不同級別的特定功能任務的訪問許可權。 物件級許可權可設定檔案、資料夾、生成定義或共享的查詢的訪問許可權。 許可權設定對應於“允許”、“拒絕”、“允許繼承”、“拒絕繼承”和“未設定”。

每個功能區域都使用組來簡化整個部署的管理。 你可以通過 TFS Web 服務管理頁面新增使用者和組。 許可權基於你向其新增使用者的 TFS 組或基於你向其新增組的物件、專案、幾何或服務級別自動進行設定。 另一方面，訪問級管理可控制伺服器級別的所有使用者和組的訪問許可權。

說明：

• 標準功能： 包括對主頁、程式碼、工作、生成和 Team Web Access (TWA) 中的管理頁面的訪問許可權。 

  轉到此處瞭解更多訪問級別的相關資訊。

• AD：Active Directory。 你可以建立本地組或 Active Directory 組來管理你的使用者。 如果您決定使用組，請確保這些組中的成員資格限制為 TFS 使用者。 由於組成員資格可由其所有者隨時進行修改，因此，如果這些所有者在建立組時不考慮 TFS，則他們對成員資格所做的更改會在 TFS 中產生不需要的副作用。

以下是你需要了解的有關許可權設定的資訊：

• “允許”或“拒絕”顯式授予許或限制使用者執行特定任務，並且通常從組成員資格繼承。

• “未設定”隱式拒絕使用者執行需要該許可權的任務的能力，但允許具有該許可權設定的組中的成員身份優先，其又稱為“允許繼承”和“拒絕繼承”。

• 對於大多陣列和幾乎所有許可權，“拒絕”優先於“允許”。 如果使用者屬於兩個組且其中一個組將特定許可權設定為“拒絕”，則該使用者即使屬於將該許可權設定為“允許”的組，也無法執行需要許可權的任務。

  對於“專案集合管理員”或“Team Foundation Administrators”組中的成員，“拒絕”並不優先於“允許”。 分配給這些組的許可權優先於該成員可能屬於的任何其他組中設定的任何“拒絕”。

• 更改組的許可權將會更改該組中通過其成員資格獲得此許可權的所有使用者的許可權。 換言之，根據組的大小，僅更改一個許可權可能會影響數以百計的使用者完成其工作的能力。 因此，在進行更改前，請確保您瞭解帶來的影響。

瞭解更改所產生的影響的兩個有用提示：“成員屬於”選項卡將顯示單個使用者或組所屬的組。 您還可以將滑鼠指標懸停在繼承的許可權的上方，這將顯示一個“為什麼?”圖示。 如果您選擇它，則將開啟一個對話方塊，其中顯示了更多資訊。

答：要將使用者和組新增到團隊專案並管理團隊專案的許可權，你必須屬於該團隊專案的“專案管理員”組，或將“編輯專案級許可權”設定為“允許”。 專案管理員具有以下預設許可權。

要管理集合中所有團隊專案的使用者、組或許可權，你必須屬於“專案集合管理員”組，或將“編輯專案級許可權”設定為“允許”。

答：你可以基於使用者在 TFS 中執行的任務授予其相應許可權。 通常情況下，你需要授予使用者完成作業所需的最小許可權集。 你可使用以下預設組及其相關許可權來管理大多數使用者並滿足其需求。

提示
與 Team Foundation Server 和 SharePoint Foundation 不同，SQL Server Reporting Services 在專案之間不進行區分。 因此，如果您將組新增到 Reporting Services 中，該組將擁有集合中所有專案的報告的相同許可權，無論其在單個專案中的許可權如何。 請記住何時選擇要新增的組。

答：參與者角色可授予開發人員參與團隊專案所需的大多數常用許可權。 但該角色不允許使用者建立共享查詢，或新增區域或迭代路徑。 你必須分別授予這些許可權。 轉到此處瞭解查詢，此處瞭解區域和迭代路徑。