Entendendo as permissões do SharePoint

O Propósito das Permissões do SharePoint

Permissões do SharePoint controlam o acesso que funcionários, parceiros, fornecedores terceirizados e outros têm ao seu conteúdo do SharePoint. Você pode escolher quem pode ler informações específicas e quem não pode. As permissões do SharePoint estendem-se não apenas à exibição de dados em listas e bibliotecas de documentos, mas também aos resultados de pesquisa e até à interface do usuário. Por exemplo, se você não tem permissões para uma lista de documentos específica, então nos resultados de uma pesquisa, você não verá nenhum documento dessa lista. Este modelo de permissões ajuda a proteger dados sensíveis de pessoas que não devem vê-los ou distribuí-los.

Funções de Administração do SharePoint

A figura a seguir mostra quais componentes do sistema cada um dos principais papéis de admin do SharePoint pode gerenciar:

Aqui estão os componentes do servidor SharePoint e os respectivos papéis de administração:

Funções de servidor e farm

• Administradores do Windows — Quando o SharePoint é instalado em um Servidor Windows, o grupo de Administradores locais desse servidor é automaticamente adicionado ao grupo de Administradores da Fazenda SharePoint. Como resultado, esses administradores locais (Administradores do Windows) têm permissões de controle total na fazenda SharePoint — eles podem instalar aplicações e software e gerenciar sites da Internet Information Services (IIS) e serviços do Windows. No entanto, por padrão, eles não têm acesso ao conteúdo do site.
• Administradores da Fazenda — Os membros do grupo de Administradores da Fazenda têm permissões de controle total para todas as fazendas do SharePoint; isto é, podem realizar todas as tarefas administrativas no SharePoint Central Administration para o conjunto de servidores. Por exemplo, podem designar administradores para gerir aplicações de serviço, funcionalidades e coleções de sites. Este grupo não tem acesso a sites individuais, coleções de sites e seu conteúdo, mas um Administrador da Fazenda pode facilmente assumir a propriedade de qualquer coleção de sites e obter acesso total ao seu conteúdo simplesmente adicionando-se ao grupo de Administradores da coleção de sites na página de Gestão de Aplicações.

Funções de serviços compartilhados

• Administradores de aplicativos de serviço — Esses administradores são selecionados pelo administrador da fazenda. Eles podem configurar as definições para um aplicativo de serviço específico em uma fazenda. No entanto, eles não podem criar aplicativos de serviço, acessar outros aplicativos de serviço na fazenda ou realizar operações no nível da fazenda, como mudanças de topologia. Por exemplo, o administrador do aplicativo de serviço para uma aplicação de pesquisa em uma fazenda pode configurar as definições para aquela aplicação apenas.
• Administradores de recursos — Um administrador de recursos está associado a um ou mais recursos específicos de uma aplicação de serviço. Esses administradores podem gerenciar um subconjunto das configurações da aplicação de serviço, mas não a aplicação de serviço inteira. Por exemplo, um administrador de recursos pode gerenciar o recurso Audiences da aplicação de serviço de Perfil de Usuário.

Funções de aplicativos web

O nível de aplicação web não possui um grupo de administradores único, mas os administradores de fazenda têm controle sobre as aplicações web dentro do seu escopo. Membros do grupo Farm Administrators e membros do grupo Administrators no servidor local podem definir uma política para conceder permissões a usuários individuais no nível da aplicação web. As seguintes políticas estão disponíveis:

• Políticas anônimas — Define a restrição de acesso a ser aplicada a usuários que não estão autorizados no domínio: nenhuma política, negar acesso de escrita ou negar todo o acesso.
• Políticas de permissão — Define um conjunto de permissões que podem ser concedidas a usuários ou grupos do SharePoint para um site, biblioteca, lista, pasta, item, documento ou outra entidade. Você pode usar as políticas de permissões padrão ou criar personalizadas.
• Políticas de usuário — Um conjunto de permissões de alto nível que é aplicado a uma aplicação web e herdado por todas as coleções de sites. Usando política de usuário, você pode conceder a qualquer usuário ou AD grupo permissões únicas para uma aplicação web específica e todas as coleções de sites dentro dela.
• Permissões de usuário — Define quais permissões avançadas os administradores de coleção de sites podem usar para criar permissões únicas para uma determinada aplicação web. (Não sei por que a Microsoft não chamou isso de “política”, também, já que funciona como uma política.)

Falarei mais sobre essas políticas mais tarde, na discussão sobre herança.

Funções de coleção de sites

• Administradores da coleção de sites — Esses administradores possuem o nível de permissão Controle Total em todos os sites de uma coleção de sites. Eles têm acesso Controle Total a todo o conteúdo do site naquela coleção de sites, mesmo que não possuam permissões explícitas naquele site. Eles podem auditar todo o conteúdo do site e receber qualquer mensagem administrativa. Um administrador primário e um secundário da coleção de sites podem ser especificados durante a criação de uma coleção de sites.
• Proprietários do site — Por padrão, membros do grupo Owners de um site possuem o nível de permissão Full Control naquele site. Eles podem realizar tarefas administrativas no site e em qualquer lista ou biblioteca dentro do site. Eles recebem notificações por e-mail para eventos, como a exclusão automática pendente de sites inativos e solicitações de acesso ao site.

Tipos padrão de permissões do SharePoint

Por padrão, SharePoint define os seguintes tipos de permissões de usuário:

• Acesso total — O usuário pode gerenciar as configurações do site, criar sub sites e adicionar usuários aos grupos.
• Design — O usuário pode visualizar, adicionar, atualizar e excluir aprovações e personalizações, bem como criar e editar novas bibliotecas de documentos e listas no site, mas não pode gerenciar as configurações para o site inteiro.
• Contribuir — O usuário pode visualizar, adicionar, atualizar e remover itens de listas e documentos. Esses direitos são os mais comuns para usuários regulares do SharePoint, permitindo que eles gerenciem documentos e informações em um site.
• Ler — O usuário pode visualizar itens de listas, páginas e baixar documentos.
• Editar — O usuário pode gerenciar listas e itens de listas e contribuir com permissões.
• Visualização apenas — O usuário pode visualizar páginas, itens de listas e documentos. Documentos podem ser visualizados somente no navegador; eles não podem ser baixados de um servidor SharePoint para um computador local.
• Acesso Limitado — O usuário pode acessar recursos compartilhados e ativos específicos. O Acesso Limitado é projetado para ser combinado com permissões detalhadas (não herdadas, permissões únicas) para permitir que os usuários acessem uma lista específica, biblioteca de documentos, pasta, item de lista ou documento sem conceder-lhes acesso a todo o site. A permissão de Acesso Limitado não pode ser editada ou excluída.

SharePoint Groups

Existem duas maneiras de atribuir permissões a um site SharePoint por meio de grupos: A primeira é adicionando
um usuário a um grupo SharePoint, e a segunda é dando a um grupo de AD security acesso direto ao site ou colocando-o em um grupo SharePoint que possui permissões no site.

Os grupos do SharePoint permitem gerir conjuntos de usuários em vez de usuários individuais. Um grupo pode incluir usuários individuais criados no SharePoint, bem como usuários ou grupos de qualquer sistema de identity management ou serviços de domínio, como Active Directory Domain Services (AD DS), diretórios baseados em LDAPv3, bancos de dados específicos de aplicativos e modelos de identidade como o Windows Live ID.

Os grupos de SharePoint definidos pelo usuário não possuem direitos de acesso específicos ao site. Você pode organizar seus usuários em qualquer número de grupos, dependendo do tamanho e complexidade da sua organização ou site. Uma coisa importante a mencionar é que os grupos de SharePoint não podem ser aninhados.

No entanto, também existem grupos predefinidos do SharePoint que concedem aos membros permissões específicas de acesso. Um conjunto de grupos predefinidos depende do modelo de site que você está usando. Aqui estão os grupos predefinidos para um site de equipe e suas permissões padrão para o site do SharePoint:

• Visitantes — Permissões de leitura
• Membros —Editar permissões
• Proprietários — Controle Total permissões
• Visualizadores —Permissões de Visualização Apenas

E aqui estão os grupos predefinidos para o modelo de site de publicação e suas permissões padrão:

• Leitores Restritos — Podem visualizar páginas e documentos, mas não podem ver versões históricas ou informações sobre permissões.
• Style Resource Readers — Possuem permissão de Read para a Galeria de Páginas Mestras e permissão de Restricted Read para a Biblioteca de Estilos. Por padrão, todos os usuários autenticados são membros deste grupo.
• Designers — Podem visualizar, adicionar, atualizar, excluir, aprovar e personalizar o layout das páginas do site usando um navegador ou SharePoint Designer.
• Aprovadores — Podem editar e aprovar páginas, itens de listas e documentos.
• Gerentes de Hierarquia — Podem criar sites, listas, itens de lista e documentos.

Note que todos esses grupos e suas permissões podem ser alterados.

A melhor prática é adicionar usuários regulares que precisam apenas ler informações ao grupo Visitors e adicionar usuários que precisam criar ou editar documentos ao grupo Members. Isso ocorre porque usuários no grupo Members podem adicionar, alterar ou remover itens ou documentos, mas não podem mudar a estrutura do site, configurações ou aparência. Da mesma forma, usuários no grupo Visitors podem ver páginas, documentos e itens, mas não podem realizar operações de adição ou remoção.

Atribuindo Permissões em Objetos

As permissões podem ser definidas em uma variedade de itens do SharePoint:

• SharePoint farm — Permissões administrativas
• Aplicação web — Política anônima, política de usuário, permissões de usuário
• Serviços Compartilhados — Permissões administrativas de aplicativo e recursos de serviço
• Coleção de sites — Permissões administrativas da coleção de sites, permissões
• Subsite — Permissões
• Biblioteca de documentos ou lista — Permissões de Compartilhamento
• Pasta na biblioteca de documentos ou lista — Permissões de compartilhamento
• Arquivo separado — Permissões de compartilhamento

Melhores práticas para atribuição de permissões

Você tem a oportunidade de regular os direitos de acesso em vários níveis. Se necessário, você pode criar exceções (permissões únicas) ao definir permissões em níveis inferiores da hierarquia, e também pode interromper a herança de permissões. Por exemplo, você pode criar permissões únicas para uma biblioteca de documentos específica e impedir que ela herde permissões de seu elemento pai.

Como uma boa prática, você deve projetar a estrutura de permissões de nível superior com o máximo de detalhes possível e minimizar o número de exceções. Quanto mais permissões únicas você criar em diferentes níveis, mais difícil será auditar e controlar os direitos de acesso. Tenha em mente que existem ferramentas de terceiros que simplificam a auditoria e o monitoramento de permissões. Por exemplo, Netwrix Auditor for SharePoint pode relatar o estado atual das suas permissões do SharePoint, bem como o estado em um ponto anterior no tempo, e alertá-lo quando alguém alterar as permissões.

Herança de Permissões

Por padrão, subsites, bibliotecas e listas herdam permissões do site no qual foram criados (o site pai). Além disso, existem as políticas definidas no nível da aplicação web que descrevi anteriormente. Todas as coleções de sites herdam permissões da política de usuário e política anônima da aplicação web, que concede ou nega acesso a contas de usuário. Aplicações web também herdam permissões de usuário, que definem quais níveis de permissão podem ser usados para criar permissões únicas para coleções de sites. O nível da aplicação web também possui uma política de permissão, que define os tipos de permissão de alto nível para a política de usuário.

Se você interromper a herança de permissões, o subsite, biblioteca de documentos, site ou arquivo poderá formar suas próprias permissões únicas, mas, como mencionado anteriormente, apenas os níveis de permissão regulados pelas permissões de usuário da aplicação web estarão disponíveis.

Portanto, temos dois tipos de herança, que estão vinculados às políticas configuradas no nível da aplicação web:

1. Política de usuário, que é herdada por todas as coleções de sites de nível inferior.
2. Permissões de usuário, que são herdadas por todas as coleções de sites com permissões avançadas; essa herança não pode ser interrompida em níveis inferiores.

Quaisquer alterações de permissão no site de nível superior (lista de itens, biblioteca de documentos) não afetarão os elementos filhos com permissões únicas, e as permissões únicas sempre prevalecerão quando entrarem em conflito com as dos pais.

Melhores práticas para herança de permissões

É muito mais fácil gerenciar permissões quando existe uma hierarquia clara de permissões que são herdadas do elemento pai. Torna-se mais difícil quando algumas listas em um site têm permissões refinadas (únicas) aplicadas, e quando alguns sites têm subsites com permissões únicas e outros com permissões herdadas. Portanto, é uma boa prática, tanto quanto possível, organizar sites e subsites, listas e bibliotecas para que possam herdar a maioria das permissões do elemento pai.

Aqui está uma estrutura de permissões do SharePoint complicada simplificada para você:

Permissões Avançadas

Os grupos padrão e níveis de permissão no SharePoint fornecem uma estrutura geral para permissões que é útil para muitos tipos de organização. No entanto, eles podem não corresponder exatamente à forma como os usuários estão organizados ou às diversas tarefas que realizam em seus sites. Se os níveis de permissão padrão não forem adequados para a sua organização, você pode criar grupos personalizados, alterar as permissões incluídas em níveis de permissão específicos ou criar níveis de permissão personalizados.

Permissões de Site SharePoint

Estas permissões afetam as configurações do site e pessoais, a interface web, o acesso e a configuração do site:

• Gerenciar Permissões — Criar e alterar níveis de permissão em um subsite e atribuir permissões a usuários e grupos.
• Visualizar Dados de Análise da Web — Visualizar relatórios de uso do site
• Criar Subsites — Criar subsites como sites de equipe, sites de publicação e sites de notícias
• Gerenciar Site Web — Realize todas as ações de administração e gestão de conteúdo para o site
• Adicionar e Personalizar Páginas — Adicionar, alterar e excluir páginas HTML
• Aplicar Temas e Bordas — Aplique um tema ou bordas ao site
• Aplicar Folhas de Estilo — Aplicar uma folha de estilo (.CSS) ao site
• Criar Grupos — Criar um grupo de usuários que pode ser utilizado em qualquer lugar dentro da coleção do site
• Navegar pelos Diretórios — Enumerar arquivos e pastas em um site usando SharePoint
• Utilize a Criação de Site Self-Service — Crie um site usando a criação de site self-service
• Visualizar Páginas — Visualizar páginas em um site
• Enumerar Permissões —Enumerar permissões em um site, lista, pasta, documento ou item de lista
• Navegar pelas Informações do Usuário — Visualizar informações sobre os usuários do site
• Gerenciar Alertas — Gerencie alertas para todos os usuários do site
• Utilize Interfaces Remotas — Utilize interfaces SOAP, Web DAV, Client Object Model ou SharePoint Designer para acessar o site
• Utilize Recursos de Integração com o Cliente — Utilize recursos que iniciam aplicações cliente no site (usuários sem esta permissão precisam baixar documentos localmente, trabalhar com eles e depois fazer o upload dos documentos revisados)
• Abrir — Abra um site, lista ou pasta e acesse itens dentro desse contêiner
• Editar Informações Pessoais do Usuário — Alterar as próprias informações do usuário, como atualizar um número de telefone ou título ou adicionar uma foto

Permissões de Lista do SharePoint

Estas permissões afetam a gestão de listas, pastas e documentos e a visualização de itens e páginas de aplicativos:

• Gerenciar Listas — Criar e excluir listas, colunas de lista e visualizações públicas de uma lista
• Sobrescrever Comportamentos de Lista — Descartar ou dar entrada em um documento que está sob checkout por outro usuário
• Adicionar Itens — Adicione itens a listas e documentos às bibliotecas de documentos
• Editar Itens — Edite itens em listas e documentos em bibliotecas de documentos, e personalize páginas de web part em bibliotecas de documentos
• Excluir Itens — Exclua itens de listas e documentos das bibliotecas de documentos
• Visualizar Itens — Visualize itens em listas e documentos nas bibliotecas de documentos
• Aprovar Itens — Aprovar ou rejeitar uma nova versão de uma lista, item ou documento
• Itens Abertos — Abra documentos usando manipuladores de arquivos do lado do servidor (os documentos não serão baixados para o computador local)
• Visualizar Versões — Visualizar versões anteriores de um item de lista ou um documento
• Excluir Versões — Excluir versões anteriores de um item de lista ou um documento
• Criar Alertas — Crie alertas para acompanhar mudanças em listas, bibliotecas, pastas, arquivos ou itens de lista
• Visualizar Páginas de Aplicação — Visualizar formulários, visualizações e páginas de aplicação

Permissões Pessoais do SharePoint

Estas permissões afetam a configuração e gestão de páginas pessoais:

• Gerenciar Visualizações Pessoais — Criar, alterar e excluir visualizações pessoais de listas
• Adicionar/Remover Web Parts Pessoais — Adicionar ou remover web parts pessoais
• Atualizar Personal Web Parts — Adicionar ou editar informações personalizadas em personal web parts.