如何將安全性元素指定給安全性物件

階層和繼承

您是網站擁有人，當您針對網站或網站的群組來建立權限結構時，應該要平衡管理的方便性與針對個別安全性物件控制特定權限的需求這兩者。在任何網站中，當您授權對該網站的存取權時，遵循最低權限的方針也是很重要的一點。

如果要以最輕鬆的方式進行管理，一開始要先使用標準 SharePoint 群組 (這些群組是「網站名稱擁有人」、「網站名稱成員」及「網站名稱訪客」)，然後在網站層級指定權限。我們建議您讓大部分的使用者變成「網站名稱訪客」或「網站名稱成員」SharePoint 群組的成員，而不要以「網站名稱擁有人」SharePoint 群組成員的身分加入每一位使用者。依預設，網站成員可以參與網站、加入或移除項目或文件，但是不能變更網站的結構或變更網站設定或外觀。如果您需要對使用者可採取的動作進行更精細的控制，可以建立其他 SharePoint 群組和權限等級。

如果有特定的清單、組件庫、清單或組件庫內的資料夾、清單項目或文件包含了需要有更多安全保障的機密資料，您可以使用微調權限將權限授與給特定的 SharePoint 群組或個別使用者。但是請注意，管理微調權限會是一項極耗時的工作。

如何將安全性元素指定給安全性物件

您可以針對安全性物件 (如網站、清單、組件庫、清單或組件庫內的資料夾、項目或文件) 將特定權限授與給使用者及包含使用者的 SharePoint 群組。由於直接維護使用者帳戶是一件沒有效率的工作，所以請盡可能使用 SharePoint 群組來管理使用者。

下圖將說明如何針對 SharePoint 網站上的網站或安全性物件將特定權限等級指定給使用者和 SharePoint 群組。

* 直接為單一使用者指定權限時，他不需要是 SharePoint 群組的成員。

請注意，特定安全性物件上會建立權限指定，這項權限指定包含使用者或 SharePoint 群組及權限等級，而每一個權限等級都有一組特定的權限。

您可以針對特定網站、清單、組件庫、清單或組件庫內的資料夾、清單項目或文件，將不同的權限等級指定給不同的使用者和 SharePoint 群組。個別使用者或 SharePoint 群組在不同的安全性物件上可以有不同的權限等級。

• 具有「管理權限」權限的任何人都可以建立 SharePoint 群組以及為整個網站指定權限等級，但是請注意，他們可能無法在 SharePoint 群組中加入或移除使用者或網域群組；依預設，網站集合管理員和網站擁有人都有這項權限。
• 清單或組件庫管理員可以對他們的清單或組件庫 (或是清單或組件庫內的資料夾) 指定更多或更少的限制性權限，其方式是加入或移除使用者或 SharePoint 群組，或是變更使用者或 SharePoint 群組的權限等級。
• 清單項目或文件建立者可以對項目或文件指定更多或更少的限制性權限，其方式是加入或移除使用者或 SharePoint 群組，或是變更使用者或 SharePoint 群組的權限等級。

階層和繼承

依預設，清單、組件庫、清單和組件庫內的資料夾、項目和文件的權限是從其上層網站繼承而來，但是您可以在階層中的較低層對任何安全性物件中斷這項繼承，其方式是編輯該安全性物件上的權限 (也就是建立專屬權限指定)。例如，您可以編輯文件庫的權限，使其中斷與網站之間的繼承關係。

網站本身是可以在其上指定權限的安全性物件，您可以設定子網站來從上層網站繼承權限，或是中斷繼承，並針對特定網站建立專屬權限。管理一組網站有一個最簡單的方式，那就是繼承權限，但是當子網站從其上層網站繼承權限時，會共用該組權限。

 注意    從上層網站繼承權限之子網站的擁有人可以編輯上層網站的權限；請確定您對於上層網站之權限所做的任何變更確實適合該上層網站以及繼承這些權限的所有子網站。

下圖將顯示網站集合階層，其中包含頂層網站與從上層網站繼承權限的子網站，以及具有專屬權限的子網站。

在圖中，子網站 1 會從頂層網站繼承權限，這表示對 SharePoint 群組及頂層網站上之權限等級所做的變更也會影響子網站 1。

子網站 2 也會從它的上層網站 (子網站 1) 繼承權限，但是由於子網站 1 也是從它的上層網站繼承權限，所以對 SharePoint 群組及頂層網站上之權限等級所做的變更也會影響子網站 2；這是因為您不能在繼承權限的子網站上管理權限，而是要管理上層網站 (也就是子網站 1 和子網站 2 的頂層網站) 的權限，或是中斷繼承並建立專屬權限。

請注意，子網站 3 具有專屬權限，這表示它不會從它的上層網站繼承權限；因此，在子網站 3 上面對權限等級及 SharePoint 群組所做的任何變更並不會影響它的上層網站。由於子網站 4 是從子網站 3 繼承權限，所以在子網站 3 上面對權限等級或 SharePoint 群組所做的任何變更會同時影響這兩個網站。

每一個網站都包含其他安全性物件，這種物件在網站階層中有特定的位置，如下圖所示。

較低層的安全性物件會自動從其上層網站繼承權限，例如，清單或組件庫會從網站繼承權限，而清單項目和文件則會從包含它們的清單、組件庫或資料夾繼承權限。您可以在階層中的任何一點中斷這項繼承，並指定專屬權限。當您中斷與上層網站之間的繼承關係時，您中斷繼承的安全性物件會收到上層網站權限的複本，然後您可以編輯這些權限，使其成為專屬權限，這表示您對於該安全性物件上的權限所做的任何變更都不會影響上層網站。

權限繼承的計劃

盡可能只在網站層級管理權限是最簡單的作法，這表示您應該建立網站階層，好讓您能夠將適合網站內所有安全性物件 (如清單、組件庫、清單或組件庫內的資料夾、文件和項目) 的權限指定給網站。雖然您可以在網站階層中的任何安全性物件上指定專屬權限，但是這種作法要比繼承權限麻煩許多，尤其當網站內的某些清單或組件庫已套用微調權限，以及當某些網站的一些子網站具有專屬權限，也有一些子網站具有繼承的權限時，這種作法會變得更困難。因此，請盡可能安排網站、子網站、清單和組件庫，好讓它們可以繼承大部分的權限，而將機密資料放到個別的子網站、清單、組件庫等地方。

例如，使用類似以下範例所示的階層來管理權限會容易許多，而不要在相同的網站、清單和組件庫內混合機密資料和非機密資料。

• 網站 A  群組首頁
• 清單 A  非機密資料 (繼承的權限)
• 文件庫 A  非機密資料 (繼承的權限)
• 子網站 B  機密資料 (專屬權限)
• 清單 B  機密資料 (專屬權限)
• 文件庫 B  機密資料 (專屬權限)

請注意，網站 A 中的清單和組件庫包含非機密資料，而建立在網站 A 底下的子網站 B 則包含用來儲存機密資料的清單和組件庫。在此案例中，您可以將適合清單 A 和文件庫 A 的權限指定給網站 A，並在子網站 B 上建立適合清單 B 和文件庫 B 的專屬權限。