首先要感谢下博客园的Wilson Wu博主，我的大部分权限设置都是参考其在
http://www.cnblogs.com/WilsonWu/archive/2011/12/02/2271664.html介绍的设置。
1、在安装TFS的服务器操作系统(一般是Windows Server 2008)上新建三个用户组：TFSAdmins、TFSDevs、TFSUsers，分别为TFS管理人员组、TFS开发人员组、TFS用户组。这样我们在TFS的权限设置里，都只针对这三个组设权限，不会具体到某个用户，而只要将windows用户加入到相应的组中，他就有了这个组的权限。
2、TFS的权限控制分为：应用层级别、团队项目集合级别、团队项目级别、区域级别，Wilson Wu博主的这篇博客只介绍应用层级别、团队项目集合级别两个级别的设置，后两个级别的设置没有涉及。
我在设了前两个级别的权限后，遇到了两个问题困惑了好久才解决，一是管理员新建的团队项目，开发人员组和用户组均看不到该项目，二是开发人员组和用户组看到了项目，但不能在项目里新建工作项。这两个问题都是团队项目级别和区域级别的权限设置没有设造成的，按照下面介绍的对这两个级别的权限设置后，问题可迎刃而解。
3、应用层级别权限设置：打开TFS管理控制台，在应用层“组成员资格”里，新建两个组：Team Developers、Team Users，分别对应于开发人员和用户。因为TFS应用层理默认有个管理组Team Foundation Administrators，故不用再新建管理员组。将在步骤1新建的Windows用户组TFSDevs组加入到此处的Team Developers，将在步骤1新建的Windows用户组TFSUsers组加入到此处的Team Users，将在步骤1新建的Windows用户组TFSAdmins组加入到此处的TFS自带的Team Foundation Administrators组。然后在应用层“管理安全性”中为每个组自定义各种权限（关于各种权限的意义另外再写博客介绍，此处不提）。
4、(1) 团队项目集合级别权限设置：在TFS管理控制台的“团队项目集合”菜单，选择“常规”中的“组成员资格”，同样要新建两个组：Project Collection Developers组、Project Collection Users组。将在步骤3中新建的Team Developers、Team Users分别加入到其中。此时对管理员组不用另做操作，因为在应用层级别具有了管理员的权限，就在整个TFS中都有了管理员的权限。
(2) 团队项目集合级别权限设置：“团队项目集合”>>“管理安全性”，将在（1）中新建的两个项目集合组添加进来，然后分别自定义权限。
5、团队项目级别权限设置：该设置可以解决“管理员新建的团队项目，开发人员组和用户组均看不到该项目”的问题。
新建项目后，在visual studio的“团队资源管理器”中右键项目选择“安全性”，将在步骤4（1）中新建的两个项目集合组添加进来，然后分别自定义权限。
6、区域级别权限设置：该设置可以解决“开发人员组和用户组看到了项目，但不能在项目里新建工作项”的问题。
选择不能够新建工作项的项目，右键，选择“团队项目设置”>>“区域和迭代”，如下图：
在区域选项卡上点击“安全性”，将在步骤4（1）中新建的两个项目集合组添加进来，然后分别自定义权限，将“编辑/查看此节点工作项”设为允许。