基于 2 个 Active Directory 组的安全性答案

【问题标题】：Security based on 2 Active Directory groups基于 2 个 Active Directory 组的安全性
【发布时间】：2010-05-11 12:57:31
【问题描述】：

假设我有 2 个 AD 安全组：“访问 SharePoint”和“访问存档”。如何以这种方式在 SPWeb 上设置仅允许同时属于这两个组的人员访问的安全性？

开箱即用的广告工具是否可以做到这一点？

谢谢！

【问题讨论】：

标签： security sharepoint active-directory

【解决方案1】：

我假设您使用的是 SharePoint 2007。话虽如此，最佳做法是仅在网站集级别应用安全性。网站集级别下的所有内容都应继承该安全性 [例如站点、列表、库、项目、文档]。

编辑：

*@OedipusPrime 提出了一个我在原始答案中忽略的好点。我现在能想到的最好的事情是确保 SharePoint 组只允许由两个不同的 Active Directory 组组成的用户需要一个需要定期运行的自定义脚本（我假设至少每天运行一次）。

您仍将创建一个新的 Active Directory 组，但您将使用 C# 控制台应用程序填充该组，该应用程序将查询 Active Directory 并确定两个 Active Directory 组中的用户（“访问 SharePoint”和“访问存档”），然后以编程方式将这些用户分配到新的 Active Directory 组（“受限站点访问”），并删除不再在这两个组中的任何用户。不是最好的选择，但如果您无法手动控制 Active Directory 组访问，我现在能想到的最好的选择。此链接为 C# / Active Directory 交互提供了一些有用的示例：http://www.codeproject.com/KB/system/everythingInAD.aspx*

创建此新 Active Directory 组后，您可以将该组添加到您的 SharePoint 网站并提供该组对该网站的权限级别。

站点操作 -> 站点设置 -> 高级权限 -> 新建 -> 添加用户
输入您创建的 Active Directory 组
选择直接授予用户权限
选择权限级别
取消选中复选框以发送电子邮件
点击确定

【讨论】：

您的设置将授予任何一个组中的人的访问权限，而不是两个组，就像将他们都直接添加到 SharePoint 组一样。
感谢您的回答。我担心不会有一个开箱即用的解决方案。虽然这是一个非常常见的安全要求。