笑男手劄：超越網站的許可權管理，UserPolicy

標籤：

SharePoint2013在MySite增加了一個叫做SkyDrive Pro新功能，笑男還沒來得及研究一下，已經有客戶遇到問題了：

在SkyDrive Pro的頁面上有一條通知：

"Welcome to your SkyDrive Pro, the place to store, sync, and share your work. Documents are private until shared. Learn more here.Dismiss"

這就是說，你在SkyDrive Pro中新建立的檔案夾預設的都是沒有共用給其他人的，這就是說，如果你沒有Share給其他人，那麼他就應該是對其他人隱藏不可見的。

現在問題出現了，客戶確認在沒有分享給任何人的情況下，她的SkyDrive Pro私人檔案夾還是可以被別人看到。而且，她也可以看到其他客戶SkyDrive Pro裡面的私人檔案夾。

首先要做的，當然是去Site Permisson裡面，利用Permission Check去檢查一下許可權，很奇怪的是，並沒有什麼內容可以顯示出許可權的異常。難道是SkyDrive Pro的許可權，預設可以把私人檔案夾顯示給別人？這不就是微軟大哥自擺烏龍？

SharePoint的許可權可以這樣追下去（括弧內，純屬個人杜撰，僅供理解）：

1. Site collection administrator，網站集合管理員（網站集合層級許可權）；
2. Site Onwer，網站所有人以及相應的member，visitor之類的（網站層級許可權）；
3. List/Library的獨立許可權（網站內容層級許可權）；
4. Folder/Item的獨立許可權（內容層級許可權）；

對於這個SkyDrive Pro的私人檔案夾，我查了以上的四個層級的所有許可權，沒有發現什麼異常。

以上四個層級的許可權是使用者甚至是超級使用者所能控制的所有許可權，但是什麼問題都沒有發現，那麼就只剩下唯一的一個地方了：Web Application的許可權！！！

故事講到這裡，有點意外了。因為很少會有人在Web Application層級做許可權的變更操作，當然，也只有Farm administrator才可以做到。

檢查之後，愕然發現，有人在MySite的Web Application的User Policy裡面加了一條“Everyone Full Read”（打勾得一項）：

 

好吧，找到兇手了，難怪MySite的私人檔案夾可以被別人隨便看，因為在Web Application層級就被定義為“所有人都有讀”的許可權了。

經過一圈的詢問後，原來是客戶自己加的，不過這個許可權把SkyDrive Pro的一個特性給OverRide了。

嗯，原來在日常客戶可以編輯的四級許可權之上，Web Application層級的許可權也是需要考慮到的，儘管很少可能會在這一層出現問題。

 

Reference:

http://blogs.msdn.com/b/sharepoint_chs/archive/2012/11/27/skydrive-pro-5.aspx

笑男手劄：超越網站的許可權管理，UserPolicy