鎖定 SharePoint Designer

鎖定 SharePoint Designer

大家好，Stephen 又和各位見面了 – 我是一位 SharePoint Designer 作者。就像您知道的，SharePoint Designer 2007 是一款功能強大的 SharePoint 網站編輯工具 — 事實上就是因為它的功能如此強大，您有時候一定會想在貴公司中，控制大家應該到什麼地方使用 SharePoint Designer 2007 以及大家的使用方式。

在這篇文章中，我會試著回答一個十分常見的問題：「我如何鎖定公司中的 SharePoint Designer？」而且我將試著回答這個問題的另一面，也就是 SharePoint Designer 已經鎖住時所引發的問題，使用者會問：「當我嘗試使用 SharePoint Designer 編輯網站時，為什麼看到這一則訊息？」

鎖住 SharePoint Designer 時會用到的選項

下表條列您可以在公司中鎖住 SharePoint Designer 的各種方法。部分資訊先前已經在各種管道中發佈 (Office Online、TechNet、MSDN、知識庫等等)，不過我認為將一切資訊集中在一起，一定會為您帶來更多的實用性。

如需各個等級的視覺概觀，請參閱 MSDN：伺服器和網站結構：物件模型概觀 (可能為英文網頁)。

權限概觀

至於上述應用各種權限的選項方面，無論是在網站等級或在管理中心，您需要考慮 3 個權限：

選項 1 — 停用「新增並自訂頁面」(Add and Customize Pages) 權限

如果您擔心使用者編輯網站的檔案，則可以清除 [新增並自訂頁面] (Add and Customize Pages) 的核取方塊。這樣做也會清除 [管理網站] (Manage Web Site) 這個相依權限的核取方塊。

當您移除這些權限時，使用者仍然可以在 SharePoint Designer 開啟網站，而且他們可以開啟以及編輯網站根目錄的頁面，例如 default.aspx。不過，當他們試著儲存所做的變更時，就會看這一則訊息。

沒有 「新增並自訂頁面」(Add and Customize Pages) 權限，使用者便無法將編輯的頁面儲存至網站的根目錄或網站的任何資料夾 — 例如，使用者無法將所做的變更儲存至網站根目錄的 default.aspx。不過，他們可以將編輯的頁面儲存至他們有權使用之網站的文件庫中，或者儲存至目前網站外面的某個地方。請記住，清單權限與網站權限是兩回事 — 事實上，這兩種權限在權限清單中各有自己所屬的小節。因此，禁止使用者將所做的變更儲存至清單或文件庫以外的檔案中，並不會禁止他們在 SharePoint Designer 中開啟網站以及執行某些動作，例如從工作流程文件庫刪除工作流程或者刪除整個清單。這些清單和文件庫的權限是分開管理的 (請參閱下一節)。

以下是另一個要注意的事項：若您擁有所有權限 (預設的「完全控制」(Full Control) 權限等級)，您就會在「網站設定」(Site Settings) 頁面中看到所有選項 (下方、最上方圖像)。若您沒有「管理網站」(Manage Web Site) 權限 (取決於「新增並自訂頁面」(Add and Customize Pages))，「網站設定」(Site Settings) 頁面的很多選項都會被移除 (下方、最下方圖像)。所以，管理使用者權限時，一定要考慮到這一點，尤其是在 [管理中心] (Central Administration) 的等級更應如此，因為您可能會禁止很多人在他們的網站中執行重要的管理工作。

選項 2 — 停用「管理清單」(Manage Lists) 權限

正如前文所述，若使用者可以在 SharePoint Designer 開啟網站，他們就可以 — 取決於他們的清單權限 — 刪除清單和文件庫中的內容，例如工作流程、清單表單或者甚至是整個清單。若要防止發生這種事，您必須停用「管理清單」(Manage Lists) 權限。

移除此權限之後，當使用者在 SharePoint Designer 開啟網站並試著刪除從網站繼承權限的清單 (或清單中的檔案)，他們就會看到「拒絕存取」(Access denied) 警告訊息。

請注意，若特定清單或文件庫此權限中斷繼承，則可以在清單或文件庫這個等級中覆寫此權限。例如，工作流程文件庫在網站中是隱藏的文件庫，而且根據預設值，並不會繼承網站的權限。當您建立網站時，工作流程文件庫會得到與網站相同的權限設定，但是後來在網站等級所做的任何變更 — 例如停用「管理清單」(Manage Lists) — 不會自動傳遞至工作流程文件庫。

若要管理工作流程文件庫的權限，請在 SharePoint Designer 中開啟網站 >> 在工作流程文件庫按滑鼠右鍵 >> 按一下 [內容] >> 按一下 [安全性] (Security) 索引標籤 >> 按一下 [使用瀏覽器管理權限] (Manage permissions using the browser) 連結。

請注意，停用使用者的「管理清單」(Manage Lists) 也會造成他們無法新增欄至清單中，或者無法建立公用檢視。

選項 3 — 停用「瀏覽目錄」(Browse Directories) 權限

前面的選項會造成使用者在 SharePoint Designer 開啟網站之後，無法編輯或刪除網站中的物件。您也可以停用「瀏覽目錄」(Browse Directories) 權限，同樣可以一開始就禁止使用者在 SharePoint Designer 中開啟網站。

停用這個權限也會停用相依的權限：前面討論的兩種權限，一個是「新增並自訂頁面」(Add and Customize Pages)，另一個是「管理網站」(Manage Web Site)，再加上「管理權限」(Manage Permissions) 和「列舉權限」(Enumerate Permissions) 這兩個。

當沒有網站 (或 Web 應用程式)「瀏覽目錄」(Browse Directories) 權限的使用者嘗試使用 SharePoint Designer 開啟網站 (或 Web 應用程式中的任何網站)，他們會看到這一則訊息。

然後，會提示他們輸入新的登入認證。如果新認證失敗，他們就會看到這一則訊息。

不是選項 — 停用「使用遠端介面」(Use Remote Interfaces) 權限

查看權限清單，您可能想停用「使用遠端介面」(Use Remote Interfaces) 權限，原因它提到使用「SharePoint Designer 介面來存取網站」(SharePoint Designer interfaces to access the Web site) — 這個結論很合理，不過就是不要這樣做！這個權限有一個相依權限 -「使用用戶端整合功能」(Use Client Integration Features)，移除這個權限會停止所有 SharePoint 與 Office 程式的整合，例如 Word、Excel 以及 PowerPoint。

例如，若您停用「使用遠端介面」(Use Remote Interfaces)，您將發現 Microsoft Office Word 中的 [編輯] (Edit) 選項從清單或文件庫的項目功能表中消失不見了。

或者，當您試著在 Word 中查看文件的版本歷史 (Office 按鈕 >> [伺服器] 功能表 >> [檢視版本歷程記錄]，您會看到這一則訊息。

而且其他各種好用的功能，例如工作流程整理，全部都會停用，所以停用「使用遠端介面」(Use Remote Interfaces) 並不是利用 SharePoint Designer 來控制存取的方法。

在每一網站定義的伺服器等級 — ONET.XML

若您是伺服器管理員，您可以修改伺服器上的 ONET.XML 檔案，就可以禁止使用者在 SharePoint Designer 2007 中開啟網站。每一個網站定義都會有一個 ONET.XML 檔案，而且變更這個檔案會影響利用該網站定義而建立的所有網站。例如，您可以修改 “sts” 網站定義的 ONET.XML，這樣會禁止使用者在 SharePoint Designer 中開啟所有利用這個網站定義而建立的小組網站。沒有控制所有網站定義的 "uber-ONET.XML" 檔案。

變更 ONET.XML 是一種全面性的變更，伺服器上的所有網站都會受到影響。

1) 在伺服器上，開啟 Windows 檔案總管，然後移至包含網站定義的資料夾：

<磁碟機：> \Program Files\Common Files\Microsoft Shared\Web Server Extensions\12\TEMPLATE\SiteTemplates\ <site_type> \XML

以下是一部 SharePoint Server 2007 伺服器所使用的網站範本。Windows SharePoint Services 的網站範本較少。每一個網站範本都有自己的 ONET.xml 檔案。

部分資料夾名稱有點晦澀難懂 – 為了方便參考，這張表格會將它們對應至網站名稱。

2) 在 ONET.XML 檔案按滑鼠右鍵來取得網站定義，然後在記事本中開啟。

3) 將以下這一行加到 Project 標記裡面：
DisableWebDesignFeatures=wdfopensite

4) 儲存檔案並關閉記事本。

5) 在伺服器上，執行 iisreset。
(依序按一下 [開始] > [執行]，輸入 cmd，然後按 [確定]。在命令提示字元中，輸入 iisreset computer_name /restart，然後按 ENTER)。

6) 如果您在 SharePoint Designer 中開啟這種類型網站，請關閉 SharePoint Designer。
當您在 SharePoint Designer 試著開啟網站時，應該會看到以下的訊息。

如需詳細資訊

知識庫 940958：如何避免 SharePoint Designer 2007年使用者變更 Windows SharePoint 服務 3.0 網站或 SharePoint Server 2007 網站

TechNet：特殊目錄與儲存位置 (Office SharePoint Server)

MSDN：網站定義和設定 (可能為英文網頁)

MSDN：專案元素 (可能為英文網頁)

在所有使用者的 Web 應用程式等級 — 「管理中心」(Central Administration) 權限

在「管理中心」(Central Administration)，您可以為 Web 應用程式的所有使用者和群組啟用或停用權限。像這樣來集中管理權限是件十分方便的事，原因在於 Web 應用程式可以包含 150,000 個網站集合。當您為 Web 應用程式的某個權限清除核取方塊時，該權限便無法指派給 Web 應用程式的任何網站集合中的任何網站的任何使用者或群組。

瀏覽至「管理中心」(Central Administration) 網站。在 [應用程式管理] (Application Management) 索引標籤中，按一下 [Web 應用程式的使用者權限] (User Permissions for Web Application)。

在下一頁中，當您管理個別網站的權限等級時，您會看到相同的權限清單 (但有一項例外：在「管理中心」(Central Administration)，還有一個權限稱為「使用自助網站架設」(Use Self-Service Site Creation))。

前文已經討論過特定權限停用之後會有什麼樣的結果，但是在「管理中心」(Central Administration)，若要禁止使用者在 SharePoint Designer 編輯網站，最簡單的方法是停用「瀏覽目錄」(Browse Directories) 權限，這樣他們就根本無法在 SharePoint Designer 開啟網站— 在此警告您，這些人因此將無法在瀏覽器中存取「網站設定」(Site Settings) 頁面的所有選項，而且無法在 Web 應用程式管理任何網站的權限。

如需詳細資訊

TechNet：管理 Web 應用程式的權限 (Office SharePoint Server)

在每一使用者或群組的 Web 應用程式等級 — 管理中心原則

上一節中討論的選項 — Web 應用程式的權限 — 是空白的設定，如此會涵蓋 Web 應用程式中所有網站集合的所有使用者和群組。如果您需要進行更細部的控制，則可以為 Web 應用程式中的特定使用者或群組設定權限。您可以為 Web 應用程式建立一個原則，便可以達到這個目的。Joel Olson 的部落格有一些不錯的 Web 應用程式原則實用範例 (可能為英文網頁)。

同時如同 Joel 所述，Web 應用程式的原則是一種集中管理權限的方法，而且不同於資訊管理原則 — 稽核、到期、標籤、條碼 — 您用來管理清單或文件庫中的資料。

瀏覽至「管理中心」(Central Administration) 網站。在 [應用程式管理] (Application Management) 索引標籤中，按一下 [Web 應用程式的原則] (Policy for Web Application)。

管理「管理中心」(Central Administration) 中的權限原則與管理 SharePoint 小組網站中的權限十分類似。您可以新增使用者、設定權限等級，以及指派權限等級給使用者。

在原則中設定權限的竅門中有一項例外，就是每一個權限都有兩個核取方塊 — 「授予」(Grant) 和「拒絕」(Deny)。如果您讓這兩個核取方塊空白，就表示該原則並未明確授予或拒絕權限，所以 Web 應用程式的網站擁有人可自行判斷使用者是否具備此權限。如果您在 Web 應用程式原則中明確授予權限，則該使用者便擁有權限，而且網站等級的網站擁有人無法覆寫此權限。同樣地，明確拒絕權限會禁止使用者擁有此權限。

您在此為了使用權限來鎖住 SharePoint Designer 而做的選擇，與前文所述相同。為了方便參考，此表格顯示哪些預設原則權限等級會授予或拒絕這些權限。此處用於鎖定 SharePoint Designer 最簡單的方法應該是增加一種新的權限原則等級，以便明確拒絕「瀏覽目錄」(Browse Directories) 權限 (同時應注意上述相依性的警告)，然後將該原則指派至特定的使用者或群組。

如需詳細資訊

TechNet：透過原則管理權限 (Office SharePoint Server)

每一使用者或群組的網站等級 — 網站權限

網站擁有人在每一使用者和每一網站基礎上可以設定的權限。

若網站未繼承權限：

· 依序按一下 [網站動作] 功能表 >> [網站設定] >> [進階權限] >> [設定] 功能表 >> [權限等級]

若網站繼承權限：

· 依序按一下 [網站動作] 功能表 >> [網站設定] >> [進階權限] >> [動作] 功能表 >> [編輯權限 >> 按一下 [確定] >> [設定] 功能表 >> [權限等級]

在網站等級，您可以使用相同的權限，而且這些權限擁有上述相同的相依性。為了方便參考，此表格會顯示 SharePoint Server 2007 哪些預設權限等級包含這些權限。

此處最簡單的原則為：

· 若要禁止使用者在 SharePoint Designer 開啟網站，請將他們新增至「訪客」群組。請注意，訪客同樣無法在瀏覽器中編輯清單或文件庫的項目或檔案。

· 若要禁止使用者在 SharePoint Designer 編輯網站，請將他們新增至「成員」群組。 成員可以在瀏覽器中編輯清單或文件庫中的項目或檔案。他們也可以在 SharePoint Designer 中開啟網站，但無法編輯。

· 若要允許使用者在 SharePoint Designer 中編輯網站，但不執行擁有人類型工作 (例如管理權限)，請建立一個「設計人員」 ，然後指派「設計」(Design) 權限等級給該群組。使用者有了「設計」權限等級之後，就可以在 SharePoint Designer 中開啟以及編輯網站，不過他們不具備「管理權限」權限。

請記住，Web 應用程式等級的權限可以覆寫網站等級的權限。即使您為自己的網站指派「完全控制」權限給某位使用者，只要「管理中心」已經移除或拒絕必要的權限，該使用者仍然會被拒絕存取。

如需詳細資訊

Office Online：權限等級和權限

Office Online：管理權限等級

每一使用者或群組的網站等級 (不是安全性功能) — 參與者設定

您可以使用「參與者設定」(Contributor Settings) 功能來啟用以及設定「參與者」(Contributor) 模式，這是 SharePoint Designer 2007 中一種存取受到限制的模式。視所屬的「參與者」(Contributor) 群組以及指派給該「參與者」(Contributor) 群組的具體編輯限制，在 SharePoint Designer 2007 開啟網站而進行編輯的使用者可以使用不同的命令和功能。

在 [網站] (Site) 功能表上，按一下 [Contributor Settings] (參與者設定)。

「參與者設定」(Contributor Settings) 提供一種微觀控制，使用者可以應用至他們在 SharePoint Designer 2007 中執行的工作。不過有兩點很重要，千萬要記住：

· 和權限不一樣，「參與者設定」(Contributor Settings) 不是一種安全性功能。「參與者」(Contributor) 模式主要用於網站擁有者相信使用者意圖的環境中。「參與者」(Contributor) 模式有助於協助使用者按照特定方向執行他們的工作，而且這種方式可防止網站遭到意外變更。

· 使用者的「參與者設定」(Contributor Settings) 無法覆寫他們被允許的執行的權限。權限是一種安全性功能； [參與者設定] (Contributor Settings) 不是安全性功能；若二者衝突，權限始終壓倒 [參與者設定] (Contributor Settings)。

若要開啟或關閉「參與者設定」(Contributor Settings)，您必須具備「管理權限」(Manage Permissions)。在 SharePoint Server 2007 中，根據預設值，只有「完全控制」(Full Control) 和「管理階層」(Manage Hierarchy) 這兩個權限等級才包含這種權限。所以根據預設值，「擁有人」(Owners) 群組中的人才可以關閉「參與者設定」(Contributor Settings)。

最後，若使用者嘗試將檔案儲存至這個「參與者設定」(Contributor Settings) 不允許的位置，他們就會看到常見的「拒絕存取 (Access denied)」訊息。

「參與者設定」(Contributor Settings) 只能在每一個網站上逐一設定，而且這些設定是儲存在 .htm 檔案中。不過，您可以在臨時的網站上指定這些設定，接下來儲存 .htm 檔案，然後使用 File 元素將這個檔案包含在網站定義中。利用這種方法，所有利用這個網站定義建立的所有網站，都會共用相同的「參與者」(Contributor) 設定。

如需詳細資訊

Office Online：參與者設定簡介

Office Online：以網站管理員的身分使用參與者設定

每一使用者或每一電腦 — 群組原則

在 Windows 型網路中，管理員可以利用「群組原則」設定來協助控制使用者如何使用 2007 Microsoft Office 系統，其中包括 SharePoint Designer 2007。管理員可以使用「群組原則」來定義以及維護使用者電腦上的 Office 設定。與其他自訂值不同的是 — 例如，安裝程式自訂檔案中散發的預設值 — 原則設定是強制執行的，而且可以用來建立高度受控制或輕度受控制的設定。例如，管理員可以使用原則設定來停用使用者介面功能表命令、相應的工具列按鈕以及鍵盤快速鍵。

您可以建立一些原則設定來套用至本機電腦以及該電腦的每一位使用者，或者只套用至個別的使用者。

· 任何使用者第一次從電腦登入網路時，就會套用每一個電腦原則設定。

· 當使用者從任何電腦登入網路時，就會套用每一使用者原則設定。

「群組原則」與「管理中心」的權限原則以及套用至清單或文件庫的資訊管理原則，是完全獨立的。「群組原則」不會控制物件的存取，例如 SharePoint 部署中的網站或網站集合。「群組原則」反而可以停用 SharePoint Designer 2007 使用者介面中的命令和按鈕。例如，若您不想讓使用者執行耗費大量資源的工作，例如在高峰時段備份網站，您可以使用「群組原則」來停用特定電腦或使用者的 SharePoint Designer「備份網站」命令。

停用 UI 前您必需指定 2007 Office 系統控制項的工具列控制識別碼 (TCID)。針對使用功能區的 Office 2007 程式，此下載檔案 (可能為英文網頁) 提供 TCID 清單。

在 SharePoint Designer 2007 中，您可以利用和 Office 2003 中相同的 VBA 來取得控制項識別碼。如需尋找步驟以及 VBA 程式碼片段，請參閱 Office Online：利用原則來管理使用者的設定 (可能為英文網頁)。

附件

為了方便參考，附加到本文章中的試算表列出 SharePoint Designer 2007 所有功能表和命令的 TCID。

如需詳細資訊

TechNet：利用 2007 Office 系統的群組原則來強制執行各項設定 (可能為英文網頁)

TechNet：停用使用者介面項目和快速鍵 (可能為英文網頁)

利用群組原則主控台來管理企業 (可能為英文網頁)

Office Online：利用原則來管理使用者的設定 (可能為英文網頁)

這是翻譯後的部落格文章。英文原文請參閱 Locking Down SharePoint Designer

This is a localized blog post. Please find the original article at Locking Down SharePoint Designer

!>

!-->