如何设置和管理SharePoint权限组

理解 SharePoint 组

Microsoft SharePoint 组可让你管理一组用户，而不是单个用户。组可以包含单个 SharePoint 用户，也可以包含来自任何身份管理或域服务系统的用户或组，例如 Active Directory Domain Services (AD DS)、基于 LDAPv3 的目录、特定于应用程序的数据库以及诸如 Windows Live ID 之类的身份模型。

你可以根据组织或站点的规模和复杂程度，将用户组织到任意数量的组中。不过，SharePoint 组不能包含其他 SharePoint 组（也就是说，不能进行嵌套）。

通过组为 SharePoint 站点分配 permissions 有两种方式：第一种是将用户添加到 SharePoint 组中，第二种是将 AD security 组的访问权限直接授予站点，或将其放入一个对该站点具有权限的 SharePoint 组中。

内置的 SharePoint 组

SharePoint 包含多个内置组。这些组存在于 SharePoint 的站点级别，并且可以在它们所属的站点集合内为其分配权限。预定义组的集合取决于您正在使用的站点模板。例如，下面是团队站点的预定义组以及它们对 SharePoint 站点的默认权限：

• 访问者 — 具有“读取”权限
• 成员 — 具有“编辑”权限
• 所有者 — 具有“完全控制”权限
• 查看者 — 具有“仅查看”权限

以下是新闻提要网站模板的预定义组及其默认权限：

• 企业阅读者 — 具有读取权限，可查看页面和文档，并且可以下载文档
• 企业成员 — 具有协作权限，可查看、打开、添加、更新和删除列表项以及文档
• 设计师 — 可使用浏览器或 SharePoint Designer 查看、添加、更新、删除、审批并自定义网站页面的布局
• 编辑者 — 可以添加、编辑和删除列表，并且可以查看、添加、更新和删除 SharePoint 列表项和文档
• Enterprise Owners — 在该网站上拥有完全控制权限

请注意，所有这些内置组都可以通过分配不同的权限级别来进行更改。

最佳实践

管理权限的最佳实践是：将只需要读取信息的普通用户添加到 Visitors 组；将需要创建或编辑文档的用户添加到 Members 组。原因是 Members 组中的用户可以添加、修改或删除项目或文档，但不能更改网站结构、设置或外观。类似地，Visitors 组中的用户可以查看页面、文档和项目，但不能执行添加或删除操作。

创建 SharePoint 组

要创建 SharePoint 组，请在“站点设置”中找到“站点权限（Site Permissions）”，然后单击“创建组（Create Group）”按钮。为该组输入名称和说明。接着指定组所有者；可以查看和编辑该组成员资格的用户；是否允许用户申请成为该组成员或申请退出该组；以及该组在该站点上的权限。最后单击“创建（Create）”以创建该组。

删除 SharePoint 组

要删除组，请在“站点设置（Site Settings）”中使用“人员和组（People and Groups）”菜单。选择该组，单击“编辑（Edit）”按钮，然后单击“删除（Delete）”按钮。

更改组成员资格

要向 SharePoint 组添加成员，请从“People and Groups”菜单中先点击左侧窗格里的组名，然后如下图所示依次点击“New”和“Add Users”。输入一个或多个要添加到该组的用户名，然后点击“Share”。

要从组中移除用户，请先选择要删除的用户，点击“Actions”，然后点击“Remove Users from Group”。

结论

使用 SharePoint 组是一种比为用户帐户分配唯一的逐项权限更轻松、也更安全的访问控制方式。通过正确设置组，并跟踪权限以及组成员身份的所有变更，你可以帮助确保数据安全。

常见问题

如何排查 SharePoint 的“访问被拒绝”错误？

SharePoint 的“访问被拒绝”错误通常由权限继承问题、组成员资格问题或身份验证失败引起。排查时，先在 Site Settings 中使用 Check Permissions 功能，核对该用户实际拥有的权限与应当拥有的权限是否一致。常见原因包括权限继承被破坏（当具有唯一权限时会阻止访问），或者在管理员不知情的情况下用户被从安全组中移除。清除浏览器缓存，并尝试在无痕窗口中访问，以排除身份验证令牌（token）相关问题。检查该用户是否存在于网站的 People and Groups 部分，并验证其组成员资格是否正确。对于持续存在的问题，请查看 SharePoint 日志以获取详细错误信息，并核对 Microsoft 365 中该用户的许可证状态。请记住，权限变更可能需要一段时间才能传播，尤其是在大型环境中。排查访问问题时，务必先进行身份验证，再检查组权限与继承设置。

如何有效创建和管理 SharePoint 组？

创建 SharePoint 组需要周密规划，以避免权限蔓延和安全漏洞。进入 Site Settings，点击 People and Groups 创建新组，并制定清晰的命名规范：应体现业务功能，而不是个人姓名。根据最小权限原则分配合适的权限级别（Full Control、Contribute、Read），确保用户仅拥有其角色所需的最低访问权限。避免创建过多的组，因为这会增加管理复杂度并带来安全风险。相反，尽可能使用 Active Directory security groups 与 SharePoint 同步，以实现集中化管理。记录组的用途以及所有权责任，便于问责。定期审计组成员资格，识别未使用的账户或过高的权限。对于大型环境，建议实施自动化的配置（provisioning）与取消配置（deprovisioning）流程，以确保组成员始终保持最新。请记住，有效的 SharePoint 组管理始于对“谁需要访问哪些数据、原因是什么”的理解。

如何安全地更改 SharePoint 权限？

更改 SharePoint 权限 需要采用系统化的方法，以避免中断访问或产生安全漏洞。在进行更改之前，请使用权限报告或 PowerShell 脚本等工具记录当前权限。尤其是在打破继承或修改权限级别时，请务必先在开发环境中测试权限变更。打破继承时，请仔细检查将丢失哪些权限，并规划如何恢复所需的访问权限。尽可能使用 SharePoint 组而不是单个用户权限，以便于管理并提升安全性。在非高峰时段进行更改，以尽量减少对用户的影响，并在之前将变更通知给受影响的用户。修改权限后，需验证用户仍能访问所需资源，并确保满足安全要求。监控 SharePoint 日志中的“访问被拒绝”错误，这可能表明存在权限问题。为权限修改实施变更审批流程，以维持安全治理并满足合规要求。

如何审计 SharePoint 权限以满足合规要求？

审计 SharePoint 权限需要同时使用内置工具和第三方解决方案，以实现对访问权限的全面可视化。通过站点设置（Site Settings）使用 SharePoint 的原生权限报告功能，为单个站点生成基础权限报告。对于企业环境，可部署 PowerShell 脚本或专用工具，以便能够同时审计多个站点集合（site collections）中的权限。重点识别具备过度权限的用户、孤立账号（orphaned accounts）以及继承关系已中断（broken inheritance）的站点——这些站点可能拥有非预期的访问权限。记录谁可以访问敏感数据，并验证访问与业务需求和合规要求一致。建立定期的审计计划：通常高风险环境按季度进行，标准业务站点按年进行。查找权限异常，例如绕过组控制的单个用户权限，或具有不恰当访问级别的外部用户。为处理权限违规创建整改流程，并为合规报告保留审计追踪（audit trails）。请记住，SharePoint 审计 不仅仅是检查权限，还包括理解数据访问模式和潜在的安全风险。

SharePoint 权限继承的最佳实践是什么？

应尽可能保持 SharePoint 权限继承，以简化管理并降低安全风险。只有在业务需求确实要求使用“独特权限”（unique permissions）的情况下，才应打破继承，因为这会带来额外的管理开销，并可能造成安全漏洞。若必须打破继承，请记录业务上的合理性，并为持续的权限管理建立清晰的责任归属。避免在整个站点层级中连锁打破继承，因为这会形成复杂的权限结构，难以审计和维护。即使在继承已断开的站点上，也应持续使用 SharePoint 组，而不是分配单个用户权限。对具有独特权限的站点实施定期复核，确保它们仍然满足业务要求和安全标准。考虑使用具有不同权限要求的子站点（sub-sites）或文档库（libraries），而不是在更高层级处打破继承。对站点所有者进行培训，说明打破继承带来的安全影响，并对权限修改要求审批流程。请记住，与多次打破继承的复杂层级相比，更简单的权限结构更安全，也更容易管理。

特别是对于 SharePoint 组权限，随着环境从单个团队站点扩展到数百个站点、库、子站点和共享文件夹，这一差距变得更难弥合。

大多数组织在不再需要时不会自动且立即移除对敏感数据的访问权限。 Netwrix 2026 Data and Identity Security Report 将这一比例定为76%。

组是管理这种增长的主要杠杆。由团队网站模板创建的SharePoint团队网站会自动包含三个默认组：Owners、Members 和 Visitors。

该结构减少了单个权限条目，但当所有者在未记录原因的情况下添加人员或为临时任务授予提升访问权限时，仍会出现偏差。未经审查的Owners组是离职承包商在项目结束后数月仍保留管理员权限的原因。

SharePoint 权限组的工作原理

管理员还可以创建自定义组以满足最小权限需求，从齿轮图标 → 站点权限中管理它们，使用自定义组和权限级别的完整权限设置页面。full permissions settings page for custom groups and permission levels.

一个组将一个权限级别变为共享访问

SharePoint 组对其中的所有成员应用同一权限级别。只需分配一次权限级别，所有当前和未来成员都会获得该访问权限，直到有人将其移除或权限级别发生变化。

该访问权限的价值取决于组内成员

该继承还区分了两个相关但不同的事物：网站的权限集，列出每个组及任何个人授权，以及每个组自身的权限集，来自分配给该组的级别。

一个结构性限制决定了该成员资格的组织方式：SharePoint 组不能包含其他 SharePoint 组，因此管理员必须在将这些组添加到 SharePoint 之前，在 Active Directory (AD) 或 Entra ID 安全组中配置任何上游嵌套。

该限制产生了两种授予访问权限的方式

SharePoint 组是一组在站点上共享分配的 permission level 的用户。每个 permission level 将相关权限捆绑在一起，将该级别分配给组会扩展到每个成员。当管理员将用户添加到组时，这些用户继承组的所有权限，移除他们则一步撤销访问权限。

组成员身份可以来自多个身份来源：单个SharePoint用户，以及来自Active Directory Domain Services (AD DS)、Microsoft Entra ID、基于轻量级目录访问协议版本3（LDAPv3）的目录、特定应用程序数据库以及如Microsoft account等身份模型。您可以根据组织或站点的规模和复杂性，将用户组织到任意数量的组中。

默认组类型

• 访客：只读

第二种方法将成员管理集中在目录中，当同一人员需要访问多个站点时，这种做法非常有效。

该嵌套限制使管理员有两种通过组授予站点权限的方式。第一种是将用户直接添加到 SharePoint 组。第二种是将 Active Directory security 组授予站点访问权限，可以直接授予权限级别，或将其放入已拥有权限的 SharePoint 组中。

站点模板可以包含站点级的预定义组，管理员可以在其站点集合内为这些组分配权限。根据现代团队站点模板和配置，组及其权限级别可能包括：

• 成员：编辑
• 所有者：完全控制
• 查看者：仅查看

权限级别如何映射到组

Owners 组可以更改站点设置、管理成员资格和修改权限。成员可以查看、添加、更新和删除列表项和文档。访客可以打开页面并下载文档，但无法更改任何内容。

• 仅查看：查看页面、项目和文档，但下载受限。默认组：Viewers。

较旧的 SharePoint Server 模板可能包含遗留组，如 Enterprise Readers、Enterprise Members、Designers、Editors 和 Enterprise Owners，具备 Read、Contribute、Page Design、List Editing 和 Full Control 权限。经典本地部署环境的管理员可能会遇到这些组，并且可以通过分配不同的权限级别来更改任何内置组。

• 读取：查看页面和项目，打开和下载文档。默认组：访客。
• 贡献：查看、添加、更新和删除列表项和文档。默认组：成员（某些模板中）。

权限级别是每个组的构建块。每个级别都是一组命名的单独权限，管理员可以在站点、列表或库范围内为组分配一个或多个级别。Microsoft参考中的默认级别为：

• 编辑：包括Contribute允许的所有操作，还可以添加、编辑和删除列表。默认组：Members。
• 设计：查看、添加、更新、删除、批准和自定义网站页面。默认组：Designers，适用于传统模板。

SharePoint 组与 Microsoft 365 组

• 完全控制： 管理所有权限，包括站点设置、用户和权限。默认组：Owners。

连接到 Microsoft Teams 或 Outlook 的团队网站同时拥有两套成员系统。该网站仍保留其经典的 SharePoint 组（Owners、Members、Visitors），同时还有一个 Microsoft 365 组，负责跨多个应用控制访问权限。

现代（Microsoft 365）组和SharePoint组授予对站点的不同访问权限。在Teams中将某人添加到团队，会将其添加到Microsoft 365组，进而使其成为站点的成员组成员。仅将某人添加到SharePoint组，则授予其站点访问权限，但不具备Teams成员资格。

查看 SharePoint 组的位置

此区分控制对从 Teams 上传的文件或文件夹的访问。Teams 将标准频道文件存储在连接的 SharePoint 站点中，团队成员通过 Members 组访问这些文件。

尽可能使用默认级别，并在创建自定义级别之前，规划一套权限策略，如果策略涵盖多个站点，则需考虑依赖权限和锁定模式。权限继承决定了子站点、列表和项目如何从其父级继承权限，直到管理员中断该继承。

网站组集中在一个地方。在网站的任何页面，点击右上角的齿轮图标，选择Site permissions。打开的面板列出了Owners、Members和Visitors组及其当前成员。

如何创建 SharePoint 组

当三个默认组无法表达真实访问边界时，创建自定义组，例如仅限于对某个库具有 Contribute 访问权限的审核团队。

要将文件夹限制为团队的子集，请直接在 SharePoint 站点中操作。打开库或文件夹的权限设置，停止继承父级权限，并授予自定义 SharePoint 组所需的权限级别。在满足已记录访问要求的最窄范围内应用唯一权限，并记录哪些文件夹具有唯一权限。

1. 打开组创建页面

同一位置显示您的当前权限级别。拥有 Read 权限时，您可以查看内容，但无法编辑；拥有 Contribute 权限时，您可以添加和更改项目，但无法访问 Site settings。拥有 Full Control 权限时，您可以看到完整的 Site settings 菜单。如果网站完全无法打开，说明您没有该网站的权限级别，access-denied page允许您向网站所有者请求访问权限。

点击齿轮图标，选择“站点权限”，然后打开完整的权限设置页面。在功能区中，选择“创建组”。

要查看完整情况，包括自定义组和任何具有直接授权的Active Directory安全组，请打开完整权限设置页面。该视图中的“人员和组”页面在左侧窗格列出站点上的所有组，选择一个组会显示其成员和设置。SharePoint Online permissions report 会将此实时视图转换为完整的可导出记录。

2. 为组命名并设置其所有者

3. 决定谁可以查看和编辑成员资格

4. 分配权限级别并创建组

输入名称和描述。使用反映业务功能的名称（“Finance-Contracts-Reviewers”），而不是一年后毫无意义的个人或项目代码。设置组所有者。此账户以后可以管理成员，因此请将所有权分配给角色账户或指定的数据所有者。

如何更改 SharePoint 组成员资格

选择仅所有者或所有组成员可以查看和编辑组成员资格。然后决定用户是否可以请求加入或离开组，以及所有者是否必须批准这些请求。对于读取以上权限，请关闭自动接受。

在网站权限部分，选择该组应拥有的权限级别。点击创建。新组会立即出现在People and Groups中，所有所有者添加的用户都会获得网站上分配的权限级别。

1. 将用户添加到组

成员资格编辑是最常见的组任务，也是漂移开始的地方。添加和删除用户、授予组网站访问权限、分配新的权限级别以及管理网站管理员，以下均作为单独操作处理。

2. 从组中移除用户

在“人员和组”中，点击左侧窗格中的组名，然后点击“新建”和“添加用户”。输入一个或多个用户名或 AD 安全组名称，然后点击 Share。SharePoint 默认发送邀请邮件；如果添加是例行操作，请禁用此功能。

3. 更改分配给组的权限级别

打开组，勾选要移除的每个用户旁边的复选框，点击操作，然后选择从组中移除用户。移除操作会撤销通过该组授予的访问权限。

4. 授予现有组对站点的访问权限

6. 退出群组

5. 添加、更改或删除网站管理员

在完整权限设置页面，勾选组旁的复选框，然后点击编辑用户权限。选择新的权限级别并点击确定。现在组内每个成员都拥有新的权限级别。由于这会一次性更改组内所有人的访问权限，请将其视为受控变更，并且当只有部分成员需要更多访问权限时，建议创建第二个组，而不是提升现有组。

管理员可以授予现有的 SharePoint 组访问该站点的列表和库的权限。他们还可以授予 AD 或 Entra ID 安全组访问任何站点的权限。在完整权限设置页面，点击授予权限，输入组名，展开显示选项，然后选择权限级别。取消安全组的邀请选项。

站点集合管理员拥有集合中每个站点的完全控制权限，高于 Owners 组提供的访问权限。在完全权限设置页面，点击 Site Collection Administrators，添加或删除账户，然后点击确定。将此列表保持为两个或三个指定账户，并在管理员离开组织时进行审核。

如何删除 SharePoint 组

管理SharePoint权限组的最佳实践

只有当管理员持续一致地应用这些做法时，基于组的访问才具有合理性，而不仅仅是在首次创建组时：

如果组所有者在创建组时启用了离开请求，用户可以打开“People and Groups”，选择该组，然后从设置菜单中选择“Leave Group”。否则，所有者将使用上述步骤将其移除。离开组只会移除组授予的访问权限；用户在站点或单个项目上的任何直接授权将保持不变。

确认之前，请检查两件事。首先，确认该组不是当前员工访问他们仍需内容的唯一路径。其次，导出或截图成员列表，以保留移除前的成员记录。

当组的用途结束时删除该组，例如，站点已归档的项目组。在“站点权限”中，打开完整的权限设置页面，然后选择“人员和组”。选择该组，打开“设置”，选择“组设置”，然后点击“删除”。

• 信任默认设置：Visitors 是供阅读者使用，Members 是供创建或编辑内容的用户使用，Owners 是负责该网站的两到三个人。该模型限制自定义权限路径，并将网站设置、用户和权限的责任保留给 Owners 组。
• 在共享前规划取消共享：临时共享可能会给Owners带来后续工作，因此需确定谁负责撤销访问权限。使用站点权限设置限制谁可以共享，并培训Members通过group owner转发访问请求。
• 通过组授予访问权限，而非单个项目：组为协作者提供网站上的一组权限，而不是针对内容逐个分配权限，依据 SharePoint group management guidance; 使用单独授权也会使成员资格审查变得复杂。
• 根据业务职能命名组，并按固定计划审查成员资格：对持有受监管数据的网站进行更频繁的审查。如果审查发现Owners中有意外成员，请询问是谁以及何时添加的。变更审计提供了答案；当前的成员页面仅显示现在的成员。
• 从 AD 或 Entra ID 安全组获取成员资格来源，您可以：放置在 SharePoint 组内的同步安全组意味着 joiner, mover, and leaver 的更改从目录流动，一次成员资格审查涵盖该组涉及的每个站点。

Netwrix 如何帮助管理 SharePoint 权限组

• 保持站点级别的继承完整：在站点或子站点上断开继承会创建第二个权限树，管理员必须单独审查该权限树，且该权限树将不再接收上级所做的更改。如果内容的子集需要不同的访问权限，请在特定库或文件夹上断开继承，记录原因，并提前决定该结构，而不是在内容已经就位后再决定。

跟踪谁在何时更改了组成员身份

高风险组变更警报

这补充了“人员和组”页面上的当前状态视图。网站所有者如果在成员中发现不熟悉的帐户，可以搜索已记录的更改，而不是四处打听。

Netwrix Auditor 记录对 SharePoint 组的添加和移除，包括受影响的用户、组、时间戳以及执行更改的账户。它还审计权限级别的重新分配和继承中断。

以上内容管理某一时点的组成员资格；但不显示谁何时更改了什么。Netwrix Auditor 是一款本地变更审计平台，弥补了这一空白，提供对SharePoint组成员资格和权限的持续审计，以及交互式搜索和合规报告。部署时间为30分钟，数小时内即可生成首份报告。

审查较长时间段内的组成员历史

配置的警报可以通知团队有关审计的高风险更改，例如将用户添加到特权组、提升组的权限级别或添加站点集合管理员。这种可见性帮助安全团队在下一次计划的成员审查之前审查潜在的权限升级。管理员可以将审查重点放在包含受监管数据的站点上，从而关注重要的更改。

追踪账户在事件后如何获得未经授权的访问

当本地审计保留或搜索限制限制访问较早的组更改时，Netwrix Auditor记录的更改历史可以支持调查。审计员可以搜索可用的保留记录，以查看谁在十八个月前拥有该站点的Owner权限。

历史成员报告还使季度access reviews 更加快速，因为审查者可以将当前成员与自上次审查以来记录的变更进行比较。

在发生泄露或疑似内部事件后，调查人员需要确定账户如何访问数据。Netwrix Auditor 的成员变更轨迹记录成员更新，例如某人何时将账户添加到某个组，涉及哪个组，以及谁进行了更改。

CoastHills Credit Union，其完整的 Netwrix Auditor 部署包括 SharePoint，每月在审计程序上节省了10小时。收回这段时间降低了审计人工成本，并释放了 IT 团队以专注于更高价值的安全优先事项。

管理SharePoint权限组的关键点

Netwrix还会单独审计SharePoint权限级别的更改。审计活动还可以显示访问更改之后发生的情况。调查人员可以搜索记录的SharePoint活动以及相关的Active Directory或Entra ID更改，而无需单独查看每个日志。

可持续的 SharePoint 权限模型需要明确的所有权、基于组的访问、有限的继承中断、定期审查和可搜索的变更记录。首先清点自定义组和唯一权限，为每个例外分配所有者，并决定组织必须保留访问变更证据的时间。

请求演示，了解 Netwrix 如何将您当前的 SharePoint 权限与保留的变更历史连接起来，并帮助您在其成为审计发现之前纠正偏差。