SharePoint 2013 中的帐户权限和安全设置

适用于：2013 2016 2019 Subscription Edition SharePoint in Microsoft 365

本文描述了以下领域的 SharePoint 管理和服务帐户权限：Microsoft SQL Server、文件系统、文件共享和注册表项。

关于帐户权限和安全设置

SharePoint 配置向导 (psconfig) 和服务器场创建向导（这两者都在完成安装过程中运行）配置许多 SharePoint 基线帐户权限和安全设置。

SharePoint 管理帐户

下列 SharePoint 组件之一在安装过程中自动配置大部分 SharePoint 管理员帐户权限：

• SharePoint 配置向导 (Psconfig)。

• 服务器场创建向导。

• SharePoint 管理中心 网站。

• PowerShell。

场管理员用户帐户

此帐户是分配给 SharePoint 管理员的唯一可识别帐户，用于通过运行 SharePoint 配置向导、初始服务器场创建向导和 PowerShell 来设置场中的每个服务器。 该帐户必须是域用户。 对于本文中的示例，服务器场管理员帐户用于服务器场管理，你可以使用管理中心来管理它。 某些配置选项（例如 SharePoint 2013 搜索查询服务器的配置）需要本地管理权限。 场管理员用户帐户需要以下权限：

• 它必须是 SharePoint 场中每台服务器上的本地管理员组的成员。

• 此帐户必须能够访问 SharePoint 数据库。

• 如果使用影响数据库的任何 PowerShell 操作，则安装程序用户管理员帐户必须是 db_owner 角色或 sysadmin 固定服务器角色的成员。

• 在安装和配置期间，必须将此帐户分配给 securityadmin 和 dbcreator 固定服务器角色，或分配给 SQL Server 中的 sysadmin 固定服务器角色。

运行配置向导后，安装程序用户管理员帐户的计算机级别权限包括：

• WSS_ADMIN_WPG Windows 安全组的成员资格。

• WSS_WPG角色的成员身份。

运行配置向导后，数据库权限包括：

• SharePoint 服务器场配置数据库上的 db_owner。

• SharePoint 管理中心 内容数据库上的 db_owner。

SharePoint 场服务帐户

服务器场帐户（也称为数据库访问帐户）用作 管理中心 的应用程序池标识和 SharePoint Foundation 2013 Timer 服务的进程帐户。 服务器场帐户必须是域用户帐户。

将自动向加入服务器场的 Web 服务器和应用程序服务器上的服务器场帐户授予权限。

在您运行配置向导后，SQL Server 和数据库权限包括：

• SharePoint Foundation 2013 定时服务的 WSS_ADMIN_WPG Windows 安全组的成员资格。

• 管理中心 和计时器服务应用程序池的 WSS_RESTRICTED_WPG 中的成员身份。

• 管理中心 应用程序池的 WSS_WPG 中的成员身份。

• Dbcreator 固定服务器角色。

• Securityadmin 固定服务器角色。

• 所有 SharePoint 数据库的 db_owner。

• SharePoint 服务器场配置数据库的 WSS_CONTENT_APPLICATION_POOLS 角色中的成员身份。

• SharePoint_Admin 内容数据库的 WSS_CONTENT_APPLICATION_POOLS 角色中的成员身份。

SharePoint 服务应用程序帐户

本节描述安装期间默认设置的服务应用程序帐户。

应用程序池帐户

应用程序池帐户用于应用程序池标识。 应用程序池帐户必须是域用户帐户。

将自动配置以下计算机级权限：

• 应用程序池帐户是 WSS_WPG 的成员。

将自动为此帐户配置以下 SQL Server 和数据库权限：

• 将 Web 应用程序的应用程序池帐户分配给内容数据库的 SP_DATA_ACCESS 角色。

• 将为此帐户分配与服务器场配置数据库关联的 WSS_CONTENT_APPLICATION_POOLS 角色。

• 将为此帐户分配与 SharePoint_Admin 内容数据库关联的 WSS_CONTENT_APPLICATION_POOLS 角色。

默认内容访问帐户

默认内容访问帐户用于在特定服务应用程序内对内容进行爬网（除非爬网规则针对 URL 或 URL 模式指定了不同的身份验证方法）。 此帐户需要以下权限配置设置：

• 默认内容访问帐户必须是域用户帐户，通过使用该帐户获得对要爬网的外部或安全内容源的读取访问权限。

• 对于不包含在服务器场中的 SharePoint Server 网站，您必须明确授予此帐户对承载网站的 Web 应用程序的完全读取权限。

• 此帐户不能是场管理员组的成员。

内容访问帐户

内容访问帐户配置为通过运行 Search 管理爬网规则功能访问内容。 此类型的帐户是可选的，您可以在创建新爬网规则时配置它。 例如，外部内容（例如文件共享）可能需要这个单独的内容访问帐户。 此帐户需要以下权限配置设置：

• 内容访问帐户必须对它被配置为进行访问的外部或安全内容源具有读取权限。

• 内容访问帐户必须在配置为爬网的 Windows 文件服务器上的本地用户策略中保留 “管理审核和安全日志 ”权限。

• 对于不包含在服务器场中的 SharePoint Server 网站，您必须明确授予此帐户对承载网站的 Web 应用程序的完全读取权限。

Excel Services 无人参与服务帐户

Excel Services 使用 Excel Services 无人值守服务帐户连接到基于非 Windows 操作系统的要求用户名和密码的外部数据源进行身份验证。 如果未配置此帐户，Excel Services 不会尝试连接到这些类型的数据源。 尽管帐户凭据用于连接到非 Windows 操作系统的数据源，但是，如果帐户不是域的成员，Excel Services 就无法访问它们。 此帐户必须是域用户帐户。

我的网站应用程序池帐户

"我的网站"应用程序池帐户必须是域用户帐户。 此帐户不能是场管理员组的成员。

将自动配置以下计算机级权限：

• 此帐户是 WSS_WPG 的成员。

以下 SQL Server 和数据库权限会自动配置：

• 将此帐户分配给与场配置数据库相关联的 WSS_CONTENT_APPLICATION_POOLS 角色。

• 将此帐户分配给与 SharePoint_Admin 内容数据库相关联的 WSS_CONTENT_APPLICATION_POOLS 角色。

• 将 Web 应用程序的应用程序池帐户分配给内容数据库的 SP_DATA_ACCESS 角色。

其他应用程序池帐户

其他应用程序池帐户必须是域用户帐户。 此帐户不能是服务器场中的任何计算机上的管理员组的成员。

将自动配置以下计算机级权限：

• 此帐户是 WSS_WPG 的成员。

以下 SQL Server 和数据库权限会自动配置：

• 将此帐户分配给内容数据库的 SP_DATA_ACCESS 角色。

• 将此帐户分配给与 Web 应用程序相关联的搜索数据库的 SP_DATA_ACCESS 角色。

• 此帐户对关联的服务应用程序数据库必须具有读写访问权限。

• 将此帐户分配给与场配置数据库相关联的 WSS_CONTENT_APPLICATION_POOLS 角色。

• 将此帐户分配给与 SharePoint_Admin 内容数据库相关联的 WSS_CONTENT_APPLICATION_POOLS 角色。

SharePoint 数据库角色

本节介绍安装在默认情况下设置的或者您可以有选择地配置的数据库角色。

WSS_CONTENT_APPLICATION_POOLS 数据库角色

WSS_CONTENT_APPLICATION_POOLS 数据库角色适用于在 SharePoint 场中注册的每个 Web 应用程序的应用程序池帐户。 这使得 Web 应用程序能够查询和更新网站地图，并具有对配置数据库中其他项的只读访问权限。 安装程序将为以下数据库分配 WSS_CONTENT_APPLICATION_POOLS 角色：

• SharePoint_Config 数据库（配置数据库）。

• SharePoint_Admin内容数据库。

WSS_CONTENT_APPLICATION_POOLS 角色的成员具有对数据库的存储过程的子集的执行权限。 此外，此角色的成员具有对“版本”表 (dbo 的 select 权限。SharePoint_Admin内容数据库中) 的版本。 对于其他数据库，帐户规划工具会指出读取这些数据库的访问权限是自动配置的。 在某些情况下，还会自动配置写入数据库的有限的访问权限。 若要提供此访问权限，请配置对存储过程的权限。

WSS_SHELL_ACCESS 数据库角色

在配置数据库上使用安全的 WSS_SHELL_ACCESS 数据库角色后，就无需将管理帐户添加为配置数据库上的 db_owner。 默认情况下，最初运行配置向导的服务器场管理员帐户分配给WSS_SHELL_ACCESS数据库角色。 您可以使用 PowerShell 命令对此角色授予或删除成员身份。 安装程序将 WSS_SHELL_ACCESS 角色分配给以下数据库：

• SharePoint_Config 数据库（配置数据库）。

• 一个或多个 SharePoint 内容数据库。 可通过 PowerShell 命令（用于管理分配给此角色的成员身份和对象）对此进行配置。

WSS_SHELL_ACCESS 角色的成员具有对数据库的所有存储过程的执行权限。 此外，此角色的成员还具有对所有数据库表的读取和写入权限。

SP_READ_ONLY 数据库角色

SP_READ_ONLY 角色应该用于将数据库设置为只读模式，而不是使用 sp_dboption。 顾名思义，在使用率和遥测数据之类的数据需要只读访问权限时，应该使用该角色。

SP_READ_ONLY SQL 角色将具有以下权限：

• 授予对所有 SharePoint 存储过程和函数的 SELECT 权限

• 授予对所有 SharePoint 表的 SELECT 权限

• 授予对架构为 dbo 的用户定义类型的 EXECUTE 权限

SP_DATA_ACCESS 数据库角色

SP_DATA_ACCESS 角色是数据库访问的默认角色，应该用于对数据库的所有对象模型级访问。 在升级或新部署期间，将应用程序池帐户添加到此角色。

SP_DATA_ACCESS 角色将具有以下权限：

• 授予对所有 SharePoint 存储过程和函数的 EXECUTE 或 SELECT 权限

• 授予对所有 SharePoint 表的 SELECT 权限

• 授予对架构为 dbo 的用户定义类型的 EXECUTE 权限

• 授予对 AllUserDataJunctions 表的 INSERT 权限

• 授予对网站视图的 UPDATE 权限

• 授予对 UserData 视图的 UPDATE 权限

• 授予对 AllUserData 表的 UPDATE 权限

• 授予对 NameValuePair 表的 INSERT 和 DELETE 权限

• 授予创建表的权限

组权限

此部分介绍了 SharePoint 2013 安装和配置工具创建的组权限。

WSS_ADMIN_WPG

WSS_ADMIN_WPG 具有对本地资源的读写访问权限。 管理中心 和 Timer 服务的应用程序池帐户在 WSS_ADMIN_WPG 中。 下表显示 WSS_ADMIN_WPG 注册表项权限。

下表显示 WSS_ADMIN_WPG 文件系统权限。

WSS_WPG

WSS_WPG 具有对本地资源的读取访问权限。 所有应用程序池和服务帐户都位于 WSS_WPG 中。 下表显示 WSS_WPG 注册表项权限。

下表显示 WSS_WPG 文件系统权限。

本地服务

下表显示本地服务注册表项权限：

下表显示本地服务文件系统权限：

本地系统

下表显示本地系统注册表项权限：

下表显示本地文件系统权限：

网络服务

下表显示网络服务注册表项权限：

管理员

下表显示管理员注册表项权限：

下表显示管理员文件系统权限：

WSS_RESTRICTED_WPG

WSS_RESTRICTED_WPG 可以读取加密的服务器场管理凭据注册表项。 WSS_RESTRICTED_WPG 仅用于加密和解密在配置数据库中存储的密码。 下表显示 WSS_RESTRICTED_WPG 注册表项权限：

用户组

下表显示用户组文件系统权限：

所有 SharePoint 2013 服务帐户

下表列出了所有 SharePoint 2013 服务帐户文件系统权限：

另请参阅

概念

安装和配置 SharePoint Server 2016