权限 - 区域路径安全限制不起作用

Question

作为 PMO，我正在尝试创建一个系统来管理来自不同业务职能部门的数据请求。所有成员都是利益相关者用户，在 ADO 项目中具有有限的访问权限，他们不会被放置在其他贡献者/团队成员/项目管理员组中。在测试环境中，我已经配置了，给定的权限组中只有一个虚拟用户。

很大一部分是通过使用区域路径来控制业务功能之间的信息流。使用安全权限，我尝试进一步配置他们的体验 - 限制每个区域路径的某些写入权限。然而，尽管我检查了项目级别、集合/组织级别和用户级别权限，但安全拒绝限制仍然不起作用。

在我的例子中，在合规提交区域内，我希望合规团队成员：

1. 仅查看合规提交区域中的项目（跨待办事项/任务板/查询）

2. 在提供的史诗/功能下创建和编辑新请求（作为新的子项目）

3. 无法编辑/删除提供的史诗/功能（也无法更改其状态）

4. 利益相关者小组成员无法编辑我/贡献者/项目管理员创建的其他现有项目

到目前为止，我遇到了要求 3 和 4 的问题。尽管将“编辑此节点”设置为“拒绝”，(3) 利益相关者帐户仍然能够编辑提供的 Epic/功能（它可以更改其状态和描述文本内容）和 (4) 利益相关者帐户可以编辑其他贡献者创建的现有项目。

为了供您查看，我有几个屏幕截图来全面展示连接的权限层次结构，从对象级安全性到组织级权限（从特定到更广泛/更高）：

1. 给定利益相关者权限组的区域路径安全设置

2. 给定利益相关者权限组设置

3. 项目有效用户权限设置

4. 项目集合有效用户权限设置

5. 虚拟用户权限设置（利益相关者权限组中当前唯一的成员）

我需要帮助查看下面插入的权限（另附），看看是否存在任何潜在的问题/冲突，或者是否有我误解的内容：

给定利益相关者权限组的区域路径安全设置

在此输入图片描述

给定利益相关者权限组设置

在此输入图片描述

项目有效用户权限设置

在此输入图片描述

项目集合有效用户权限设置

在此输入图片描述

虚拟用户权限设置（利益相关者权限组中当前唯一的成员）

在此输入图片描述

Answer 1

到目前为止，我遇到了要求 3 和 4 的问题。尽管将“编辑此节点”设置为“拒绝”，(3) 利益相关者帐户仍然能够编辑提供的史诗/功能（它可以更改其状态和描述）文本内容）以及 (4) 利益相关者帐户可以编辑其他贡献者创建的现有项目。

出现此行为的原因是利益相关者账户的在此节点中编辑工作项权限为允许。

“编辑此节点”是编辑当前区域路径的权限。它不能限制编辑当前区域路径中的史诗/特征。如果“编辑此节点”权限为“拒绝”的用户尝试编辑区域路径，则会遇到以下错误：

作为解决方法，您可以为利益相关者帐户创建子区域路径。

• 对于合规性区域路径，将“编辑此节点中的工作项”设置为“拒绝”。
• 对于子区域路径，将“编辑此节点中的工作项”设置为允许。

然后用户将可以在子区域路径中创建子WI，但不能编辑父WI。