SharePoint Server 中的帳戶許可權和安全性設定

適用於：2013 2016 2019 訂閱版 Microsoft 365 中的 SharePoint

本文說明下列領域的 SharePoint 管理及服務帳戶權限：Microsoft SQL Server、檔案系統、檔案共用及登錄項目。

深入了解 Microsoft 365 中的 SharePoint 系統管理員角色。

關於 SharePoint Server 中的帳戶許可權和安全性設定

在完整安裝期間執行的 SharePoint 產品設定精靈 (Psconfig) 和[伺服器陣列設定精靈] 可設定許多 SharePoint 基準帳戶權限及安全性設定。

服務帳戶建議

下列各節說明 SharePoint Service 帳戶的建議。

服務帳戶建議

Microsoft 建議在伺服器陣列中使用最少數目的服務應用程式集區帳戶。 此建議是為了減少記憶體使用量並提高效能，同時保持適當的安全層級。

• 使用提升許可權的個人識別帳戶進行 SharePoint 安裝、維護和升級。 此帳戶將保留 SharePoint 伺服器陣列系統管理員帳戶中所述所需的角色。 每個 SharePoint 系統管理員都應該使用個別的帳戶，以便清楚識別他們在伺服器陣列上執行的活動。

• 可能的話，請使用安全性群組 SharePoint 伺服器陣列系統管理員群組來統一所有個別的 SharePoint 伺服器陣列系統管理員帳戶，並授與 SharePoint 伺服器陣列系統管理員帳戶中所述的權限。 安全性群組的這種使用方式可大幅簡化 SharePoint 伺服器陣列系統管理員帳戶的管理。

• SharePoint 伺服器陣列服務帳戶應該只執行 SharePoint 計時器服務、SharePoint Insights (（如果適用) ）、用於管理中心的 IIS 應用程式集區、用於拓撲服務) 的 SharePoint Web 服務系統 (，以及用於安全性權杖服務) 的 SecurityTokenServiceApplicationPool (。

• 單一帳戶應該用於所有服務應用程式，稱為 服務應用程式集區帳戶。 單一帳戶的這種使用方式可讓系統管理員針對所有服務應用程式使用單一 IIS 應用程式集區。 此外，此帳戶應該執行下列 Windows 服務：SharePoint 搜尋主機控制器、SharePoint Server 搜尋，以及 AppFabric 快取服務) (分散式快取。

• 所有 Web 應用程式都應該使用單一帳戶，稱為 Web 應用程式集區帳戶。 單一帳戶的這種使用方式可讓系統管理員針對所有 Web 應用程式使用單一 IIS 應用程式集區，但 SharePoint 伺服器陣列服務帳戶所執行的管理中心 Web 應用程式除外。

• 除了 Windows 權杖服務帳戶的宣告之外，任何服務應用程式集區帳戶都不應具有任何 SharePoint 伺服器的本機系統管理員存取權，也不應具有任何提高許可權的 SQL Server 角色，例如系統管理員固定角色。 SharePoint 伺服器陣列系統管理員帳戶將需要 dbcreator 和 securityadmin 固定角色，除非您預先佈建 SharePoint 資料庫，並手動指派許可權給每個資料庫。

• 服務應用程式集區帳戶 （執行宣告至 Windows 權杖服務的帳戶除外） 應該在本機拒絕登入，並在本機安全性原則\使用者許可權指派中透過遠端桌面服務拒絕登入。 這些值是透過 secpol.msc設定的。

• 使用個別帳戶進行 內容存取 (搜尋編目程式) 、 入口網站超級讀取器、 入口網站超級使用者和 User Profile Service 應用程式同步處理 （如果適用）。

• 對 Windows 權杖服務帳戶的宣告是伺服器陣列上的高許可權帳戶。 部署此服務之前，請先確認是否需要。 如有必要，請為此服務使用單獨的帳戶。

服務帳戶建議概觀

SharePoint 管理帳戶

下列其中一個 SharePoint 元件會在安裝程序期間自動設定大部分的 SharePoint 管理帳戶權限：

• SharePoint 產品設定精靈 (Psconfig)。

• 伺服器陣列設定精靈。

• SharePoint 管理中心網站。

• Microsoft PowerShell.

SharePoint 伺服器陣列系統管理員帳戶

此帳戶可用來執行 SharePoint 產品設定精靈 (Psconfig) 、初始伺服器陣列設定精靈和 PowerShell，以設定伺服器陣列中的每部伺服器。 針對本文中的範例，SharePoint 伺服器陣列系統管理員帳戶會用於伺服器陣列管理，而且您可以使用管理中心來管理它。 某些設定選項，例如 SharePoint Server 搜尋查詢伺服器的設定，需要本機系統管理許可權。 SharePoint 伺服器陣列系統管理員帳戶具有下列需求：

• 必須擁有網域使用者帳戶權限。

• 它必須是 SharePoint 伺服器陣列中每部伺服器上本機 Administrators 群組的成員。

• 此帳戶必須擁有 SharePoint 資料庫的存取權。

• 如果您使用任何影響資料庫的 PowerShell 作業，SharePoint 伺服器陣列系統管理員帳戶必須是 db_owner 角色的成員。

• 此帳戶必須在安裝及設定期間指定給 securityadmin 及 dbcreatorSQL Server 安全性角色。

執行設定精靈之後，SharePoint 伺服器陣列系統管理員帳戶的電腦層級權限包括：

• WSS_ADMIN_WPG Windows 安全性群組的成員資格。

執行設定精靈之後，資料庫權限包括：

• SharePoint 伺服器陣列設定資料庫的 db_owner。

• SharePoint 管理中心內容資料庫的 db_owner。

SharePoint 伺服器陣列服務帳戶

SharePoint 伺服器陣列服務帳戶也稱為資料庫存取帳戶，會用作管理中心的應用程式集區身分識別，以及 SharePoint 計時器服務的進程帳戶。 伺服器陣列帳戶有下列需求：

• 必須擁有網域使用者帳戶權限。

額外的權限會自動授與加入伺服器陣列的 SharePoint 伺服器上的 SharePoint 伺服器陣列服務帳戶。

執行安裝程式之後，電腦層級權限包括：

• SharePoint 計時器服務的 WSS_ADMIN_WPG Windows 安全性群組中的成員資格。

• 管理中心和計時器服務應用程式集區的 WSS_RESTRICTED_WPG 成員資格。

• 管理中心應用程式集區的 WSS_WPG 成員資格。

執行設定精靈之後，SQL Server 及資料庫權限包括：

• Dbcreator 固定伺服器角色。

• Securityadmin 固定伺服器角色。

• 所有 SharePoint 資料庫的 db_owner。

• SharePoint 伺服器陣列組態資料庫 WSS_CONTENT_APPLICATION_POOLS 角色的成員資格。

• SharePoint_Admin內容資料庫的 WSS_CONTENT_APPLICATION_POOLS 角色成員資格。

SharePoint 應用程式集區帳戶

本節說明在安裝期間預設設定的 SharePoint 應用程式集區帳戶。

預設的內容存取帳戶

除非編目規則另行指定其他 URL 或 URL 模式的驗證方法，否則在特定的服務應用程式內編目內容，會使用預設的內容存取帳戶。 此帳戶需要下列權限組態設定：

• 預設內容存取帳戶必須是網域使用者帳戶，該帳戶具有您想要使用此帳戶編目的外部或安全內容來源的 讀取 權限。

• 對於不屬於伺服器陣列的 SharePoint Server 網站，您必須明確授與此帳戶裝載網站之 Web 應用程式的完整 讀取 許可權。

• 此帳戶不得是伺服器陣列管理員群組的成員。

內容存取帳戶

內容存取帳戶會設定為使用搜尋管理編目規則功能存取內容。 此為選擇性的帳戶類型，您可以在建立新編目規則時加以設定。 例如，外部內容 (如檔案共用) 可能需要此獨立的內容存取帳戶。 此帳戶需要下列權限組態設定：

• 內容存取帳戶必須具有此帳戶設定為存取的外部或安全內容來源的 讀取 權限。

• 對於不屬於伺服器陣列的 SharePoint Server 網站，您必須明確授與此帳戶裝載網站之 Web 應用程式的完整 讀取 許可權。

Web 應用程式集區帳戶

Web 應用程式集區帳戶必須是網域使用者帳戶。 此帳戶不得是伺服器陣列管理員群組的成員。

此帳戶應該用於沒有管理中心的所有 Web 應用程式。

下列電腦層級權限會自動設定：

• 此帳戶是 WSS_WPG的成員。

下列 SQL Server 及資料庫權限會自動設定：

• 此帳戶會指派給與伺服器陣列組態資料庫相關聯的 WSS_CONTENT_APPLICATION_POOLS 角色。

• 此帳戶會指派給與 SharePoint 管理員內容資料庫相關聯的WSS_CONTENT_APPLICATION_POOLS角色。

• Web 應用程式的應用程式集區帳戶會指派給內容資料庫的 SPDataAccess 角色。

SharePoint 服務應用程式集區帳戶

SharePoint Service 應用程式集區帳戶必須是網域使用者帳戶。 此帳戶不得是伺服器陣列之任何電腦上的系統管理員群組成員。

下列電腦層級權限會自動設定：

• 此帳戶是 WSS_WPG的成員。

下列 SQL Server 和資料庫需求/權限會自動設定：

• 此帳戶會指派給內容資料庫的 SPDataAccess 角色。

• 此帳戶會指派給與 Web 應用程式相關聯之搜尋資料庫的 SPDataAccess 角色。

• 此帳戶必須具有相關聯服務應用程式資料庫的 讀取 和 寫入 存取權。

• 此帳戶會指派給與伺服器陣列組態資料庫相關聯的 WSS_CONTENT_APPLICATION_POOLS 角色。

• 此帳戶會指派給與SharePoint_Admin內容資料庫相關聯的 WSS_CONTENT_APPLICATION_POOLS 角色。

SharePoint 資料庫角色

本節說明安裝預設設定的資料庫角色，或可以選擇性設定的資料庫角色。

WSS_CONTENT_APPLICATION_POOLS 資料庫角色

WSS_CONTENT_APPLICATION_POOLS資料庫角色會套用至在 SharePoint 伺服器陣列中註冊之每個 Web 應用程式的應用程式集區帳戶。 此角色適用性可讓 Web 應用程式查詢和更新網站地圖，並具有組態資料庫中其他專案的 唯讀 存取權。 安裝程式會將 WSS_CONTENT_APPLICATION_POOLS 角色指派給下列資料庫：

• SharePoint Config 資料庫 (組態資料庫)

• SharePoint 管理員內容資料庫

WSS_CONTENT_APPLICATION_POOLS 角色的成員具有資料庫預存程序子集的執行許可權。 此外，此角色的成員具有 dbo (版本 表格的 選取 權限。版本) 在SharePoint_AdminContent資料庫中。 至於其他資料庫，帳戶規劃工具會指示自動設定這些資料庫的讀取權限。 在某些情況下，也會自動設定資料庫的限制寫入權限。 設定預存程序的權限，可提供此存取權。

SharePoint_SHELL_ACCESS資料庫角色

配置資料庫上的安全 SharePoint_SHELL_ACCESS 資料庫角色取代了在配置資料庫上新增管理帳戶作為 db_owner 的需求。 根據預設，安裝帳戶會指派給 SharePoint_SHELL_ACCESS 資料庫角色。 您可以使用 PowerShell 命令將成員資格授與此角色，或移除成員資格。 安裝程式會將 SharePoint_SHELL_ACCESS 角色指派給下列資料庫：

• SharePoint_Config 資料庫 (設定資料庫)。

• 一或多個 SharePoint 內容資料庫。 您可以使用管理成員資格的 PowerShell 命令，以及指派給此角色的物件來設定此資料庫。

SharePoint_SHELL_ACCESS 角色的成員具有資料庫所有預存程序的執行權限。 此外，此角色的成員具有所有資料庫資料表的 讀取 和 寫入 許可權。

SPREADONLY 資料庫角色

SPREADONLY 角色應該用來將資料庫設定為唯讀模式，而不是使用 sp_dboption。 顧名思義，當使用情況和遙測資料只需要 讀取 存取權時，應該使用此角色。

SPREADONLY SQL 角色將具有下列許可權：

• 對所有 SharePoint 預存程序和功能授與 SELECT。

• 對所有 SharePoint 資料表授與 SELECT。

• 在結構描述為 dbo 的使用者定義類型上授與 EXECUTE。

SPDataAccess 資料庫角色

SPDataAccess 角色是資料庫存取的預設角色，應該用於資料庫的所有物件模型層級存取。 在升級或新部署期間，將應用程式集區帳戶新增至此角色。

SPDataAccess 角色將具有下列權限：

• 對所有 SharePoint 預存程序和功能授與 EXECUTE 或 SELECT。

• 對所有 SharePoint 資料表授與 SELECT。

• 在結構描述為 dbo 的使用者定義類型上授與 EXECUTE。

• 對 AllUserDataJunctions 資料表授與 INSERT。

• 對網站檢視授與 UPDATE。

• 對 UserData 檢視授與 UPDATE。

• 對 AllUserData 資料表授與 UPDATE。

• 對 NameValuePair 資料表授與 INSERT 和 DELETE。

• 授與建立資料表權限。

群組權限

本節說明 SharePoint Server 2016 和 2019 設定和設定工具所建立之群組許可權。

WSS_ADMIN_WPG

WSS_ADMIN_WPG 具有本機資源的 讀取 和 寫入 存取權。 管理中心和計時器服務的應用程式集區帳戶處於 WSS_ADMIN_WPG狀態。 下表顯示 WSS_ADMIN_WPG 登錄專案許可權：

下表顯示 WSS_ADMIN_WPG 檔案系統權限。

WSS_WPG

WSS_WPG 具有本機資源的 讀取 存取權。 所有應用程式集區及服務帳戶都位於 WSS_WPG 中。 下表顯示 WSS_WPG 登錄專案許可權：

下表顯示WSS_WPG檔案系統權限：

本機服務

下表顯示本機服務登錄項目權限：

下表顯示本機服務檔案系統權限：

本機系統

下表顯示本機系統登錄項目權限：

下表顯示本機檔案系統權限：

網路服務

下表顯示網路服務登錄項目權限：

系統管理員

下表顯示管理員登錄項目權限：

下表顯示管理員檔案系統權限：

WSS_RESTRICTED_WPG

WSS_RESTRICTED_WPG 可以讀取加密伺服器陣列管理認證登錄專案。 WSS_RESTRICTED_WPG 僅用於加密及解密儲存在配置資料庫中的密碼。 下表顯示 WSS_RESTRICTED_WPG 登錄專案權限：

使用者群組

下表顯示使用者群組檔案系統權限：

所有 SharePoint Server 服務帳戶

下表顯示 SharePoint Server 服務帳戶的檔案系統許可權：

另請參閱

概念

安裝及設定 SharePoint Server 2016