При создании объекта (например коллекции или объявления) пользователю может потребоваться разрешить другим пользователям (или группам) использовать или управлять объектом. Это возможно, если у пользователей есть право Управление на уровне класса, которое также позволяет им выполнять любые действия над любым экземпляром данного типа объектов. Более целесообразным является предоставление пользователю права Делегировать на уровне класса, которое позволяет ему предоставлять права для созданных им объектов другим пользователям и группам. Однако при этом пользователи могут предоставлять только те права, которые были предоставлены им на уровне экземпляра; они не могут предоставлять права, которые были предоставлены им через членство в группе или на уровне класса.

Например, пусть у пользователя есть права Создать и Делегировать на уровне класса для коллекций. Пусть у него также есть права Читать, Читать ресурс и Объявление на уровне экземпляра для коллекции "Все системы Windows XP". Тогда пользователь может создать новую коллекцию на основании членства коллекции "Все системы Windows XP". Затем он может предоставить другой группе права Читать и Читать ресурс для новой коллекции, — но не права Создать и Делегировать, — чтобы члены этой группы могли просматривать новую коллекцию.

Примечание
Предоставляйте разрешения каждому администратору осмотрительно — на уровне экземпляра, кроме случаев, когда им требуются разрешения на уровне класса. Создайте коллекцию ресурсов, которой будет управлять каждый администратор, и предоставьте разрешения только на эту коллекцию. В результате каждый администратор сможет просматривать только те объекты безопасности, доступ к которым ему предоставлен.

Зачастую заданные права для коллекций влияют на возможность выполнения задач в других узлах консоли Configuration Manager 2007. Например, предоставление права доступа Читать для коллекции не только дает пользователю возможность просматривать коллекцию, но также позволяет просматривать ресурсы в коллекции. Пользователь может просматривать свойства ресурса и запускать обозреватель ресурсов, но не может просматривать значения групп в обозревателе ресурсов. Для просмотра этих значений пользователю также необходимо право Читать ресурс. Чтобы пользователь мог управлять ресурсами компьютера на более высоком уровне, ему необходимо предоставить право Использовать удаленные средства или Просмотр собранных файлов. Чтобы полностью удалить ресурс Configuration Manager 2007 (а не просто удалить правило коллекции, на основании которого ресурс является ее членом), пользователь должен иметь право Удалить ресурс.

Ресурсами можно управлять посредством запросов, однако наличие права Читать позволяет только просматривать и запускать запросы. Возможность просмотра ресурсов в окне результатов запроса, а также управления этими ресурсами определяется правами, заданными для коллекций, в которых содержатся эти ресурсы.

Для управления базой данных сайта можно создать команды обслуживания сайта Microsoft SQL Server в консоли Configuration Manager 2007 в узле Параметры сайта для каждого сайта. Эти команды имеют полные права доступа к базе данных сайта и могут выполнять над данными и базой данных любые операции. Чтобы предотвратить злонамеренное использование этого мощного средства, необходимо предоставить доступ к экземпляру Управление командами SQL класса Сайт только старшим администраторам, которым требуется это право.

Примечание
Для добавления, удаления или изменения команд SQL также необходимо право Изменить для объекта "Сайт".

Одной из основных задач контроля использования программных продуктов является создание правил контроля использования программных продуктов. Правила контроля использования программных продуктов могут применяться не только к сайту, для которого они созданы, но также к его дочерним сайтам. Для управления правилами контроля использования программных продуктов администратор Configuration Manager 2007 должен иметь соответствующие права доступа к объектам контроля использования программных продуктов. Для применения этих правил к сайту администратор также должен иметь право Контроль использования на уровне экземпляра класса Сайт или право Контроль использования на уровне класса "Сайт", что позволяет применять правила ко всем сайтам, на которые они распространяются. Релевантными правами Контроль использования являются права на сайте, где было создано правило, а не права на сайтах, на которые это правило было распространено.

Для добавления обновлений программного обеспечения в шаблон или развертывание путем перетаскивания или использования меню "Действие" необходимы следующие права.

Поскольку объявления включают пакет и коллекцию, для создания объявления необходимы следующие права:

• Читать — на коллекцию, получающую объявление;
  
  
• Объявление — на коллекцию, получающую объявление;
  
  
• Читать — на пакет, в котором содержится объявленная программа.
  
  

Для удаления объявления необходимы следующие права:

• Удалить — на объявление;
  
  
• Объявление — на коллекцию, получающую объявление;
  
  
• Читать — на пакет, в котором содержится объявленная программа.
  
  

Для выполнения некоторых задач развертывания операционной системы требуется доступ к пакетам, коллекциям, объявлениям и объектам сайта.

Примечание
Если для последовательности задач требуется пакет распространения программного обеспечения или образ ОС, у Configuration Manager 2007 должно быть право "Читать" на уровне класса "Пакет", а не только на уровне экземпляра пакета, подлежащего распространению.

Некоторые действия могут быть выполнены пользователем, даже если у него недостаточно прав. Например, не имея прав создания объектов класса "Пакет образа загрузки", пользователь может начать процесс импорта, но мастер завершит работу с ошибкой вследствие отсутствия необходимых прав.

При работе в диспетчере служб Configuration Manager 2007 необходимо право Управление для объекта основного сайта для выполнения следующих действий:

• опрос службы;
  
  
• остановка службы;
  
  
• запуск службы;
  
  
• настройка ведения журнала службы.
  
  

Для выполнения этих задач на дополнительном сайте необходимо быть членом локальной группы администраторов.