SICHERHEIT
Korrekte Einträge in der ACL sind u. a.:
Fügen Sie der ACL Namen im hierarchischen Format hinzu, um eine höhere Sicherheit zu gewährleisten. Beispiel:
Sandra E Schmidt/West/Renovations/DE
Ralf Bocker/Vertrieb/FactoryCo
Platzhaltereinträge
Um den allgemeinen Zugriff auf eine Datenbank zu erlauben, können Sie hierarchische Namen mit einem Platzhalterzeichen (*) in die ACL eingeben. Sie können Platzhalter im allgemeinen Namen und in den Unterorganisationskomponenten verwenden.
Benutzern und/oder Servern, für die kein bestimmter Benutzer- oder Gruppennameneintrag in der ACL vorhanden ist und zu deren hierarchische Namen die Komponenten gehören, die einen Platzhalter enthalten, wird durch die entsprechenden Platzhaltereinträge die höchste Zugriffsebene zugewiesen.
Es folgt ein ACL-Eintrag im Platzhalterformat:
*/Illustration/Produktion/Renovations/DE
Dieser Eintrag gewährt die ausgewählte Zugriffsebene für:
Mary Tsen/Illustration/Produktion/Renovations/DE
Michael Bowling/Illustration/Produktion/Renovations/DE
Dieser Eintrag gewährt keine ausgewählte Zugriffsebene für:
Sandy Braun/Dokumentation/Produktion/Renovations/DE
Alan Nelson/Renovations/DE
Sie können einen Platzhalter nur im ACL-Eintrag ganz links verwenden. Den folgenden Eintrag können Sie beispielsweise nicht verwenden:
*/Illustration/*/Renovations/DE
zur Darstellung der folgenden Einträge:
Michael Bowling/Illustration/West/Renovations/DE
Karen Richards/Illustration/Ost/Renovations/DE
Setzen Sie beim Verwenden eines ACL-Platzhaltereintrags den Benutzertyp auf "Unbestimmt", "Gemischte Gruppe" oder "Personengruppe".
Benutzernamen
Sie können einer ACL die Namen von Einzelpersonen mit zertifizierten Notes-Benutzer-IDs oder von Internetbenutzern hinzufügen, die die Namens- und Kennwortauthentifizierung bzw. die SSL-Client-Authentifizierung verwenden.
Anmerkung: Viele Aliasnamen können im Benutzernamensfeld eingegeben und für die Authentifizierung verwendet werden. Zum Ausführen der Sicherheitsautorisierungsprüfung wird jedoch der erste Name in der Liste verwendet. Dabei handelt es sich um den Namen, der für alle IBM Domino-Datenbank-ACLs in den Sicherheitseinstellungen des Serverdokuments und in den ACL-Dateien verwendet werden sollte.
Sie können einer ACL Servernamen hinzufügen, um die Änderungen zu steuern, die eine Datenbank von einer Datenbankreplik erhält. Damit eine höhere Sicherheit sichergestellt wird, verwenden Sie den vollständigen hierarchischen Servernamen (beispielsweise "Server1/Vertrieb/Renovations"), unabhängig davon, ob sich der Name des hinzugefügten Servers in einer anderen hierarchischen Organisation befindet als der des Servers, auf dem die Datenbank gespeichert ist.
Gruppennamen
Sie fügen der ACL einen Gruppennamen hinzu, z. B. "Training", um mehrere Benutzer oder Server darzustellen, die denselben Zugriff benötigen. Die Benutzer müssen in Gruppen mit einem primären hierarchischen Namen aufgeführt sein. Mitglieder von Gruppen können auch durch Platzhaltereinträge angegeben werden. Bevor Sie in einer ACL einen Gruppennamen verwenden können, müssen Sie die Gruppe im IBM Domino-Verzeichnis, in einem sekundären Domino-Verzeichnis oder in einem externen LDAP-Verzeichnis erstellen, das für die Gruppenautorisierung in der Datenbank für die Verzeichnisverwaltungsdatenbank (Directory Assistance) konfiguriert wurde.
Anmerkung: Stellen Sie sicher, dass alle Gruppennamen, die sie in einer ACL verwenden, gemäß den entsprechenden Richtlinien erstellt werden. Die Verwendung fehlerhafter Namen kann zu Zugriffsproblemen führen.
Tipp: Verwenden Sie für die Manager einer Datenbank individuelle Namen anstatt Gruppennamen. Wenn die Benutzer anschließend Erstellen -> Andere -> Spezial/Memo an Datenbankmanager senden auswählen, wissen sie, an wen sie sich wenden.
Gruppen stellen eine bequeme Möglichkeit dar, eine Datenbank-ACL zu verwalten. Die Verwendung einer Gruppe in der ACL bietet folgende Vorteile:
Gruppe vom Typ "Ausgeschieden"
Wenn Mitarbeiter aus einem Unternehmen ausscheiden, sollten Sie ihre Namen aus allen Gruppen im Domino-Verzeichnis entfernen und sie einer Gruppe "Nur Negativliste" hinzufügen, die zum Verweigern des Serverzugriffs verwendet wird. Die Negativliste im Serverdokument enthält die Namen der Notes-Benutzer und -Gruppen, die über keinen Zugriff auf Domino-Server mehr verfügen. Sie sollten auch sicherstellen, dass die Namen von ausgeschiedenen Mitarbeitern aus den ACLs aller Datenbanken in Ihrem Unternehmen entfernt werden. Wenn Sie eine Person aus dem Domino-Verzeichnis löschen, können Sie einen Gelöschten Benutzer zur Gruppe ohne Zugriff hinzufügen, falls eine solche Gruppe erstellt wurde. (Falls keine derartige Gruppe existiert, wird im Dialogfeld die Nachricht Keine Gruppe ohne Zugriff ausgewählt oder verfügbar angezeigt.)
LDAP-Benutzer
Sie können ein sekundäres LDAP-Verzeichnis für die Authentifizierung von Internetbenutzern verwenden. Anschließend können Sie die Namen dieser Internetbenutzer Datenbank-ACLs hinzufügen, um den Benutzerzugriff auf Datenbanken zu steuern.
Sie können im sekundären LDAP-Verzeichnis auch Gruppen erstellen, die die Namen der Internetbenutzer enthalten, und die Gruppen anschließend als Einträge in den Notes-Datenbank-ACLs hinzufügen. Ein Internetbenutzer kann beispielsweise versuchen, eine Datenbank auf einem Domino-Web-Server zu öffnen. Wenn der Web-Server den Benutzer authentifiziert und die ACL eine Gruppe mit der Bezeichnung "Web" enthält, kann der Server den Namen des Internetbenutzers zusätzlich zur Suche im primären Domino-Verzeichnis in der Gruppe "Web" suchen, die sich im fremden LDAP-Verzeichnis befindet. Beachten Sie, dass die Datenbank "Directory Assistance" auf dem Web-Server ein LDAP-Verzeichnisverwaltungsdokument für das LDAP-Verzeichnis mit der aktivierten Option "Gruppe erweitern" enthalten muss, damit dieses Szenario funktioniert. Sie können diese Funktion auch verwenden, um die Namen von Notes-Benutzern zu suchen, die in fremden LDAP-Verzeichnisgruppen zur Datenbank-ACL-Überprüfung gespeichert sind.
Wenn Sie einer Datenbank-ACL den Namen eines Benutzers oder einer Gruppe aus einem LDAP-Verzeichnis hinzufügen, verwenden Sie für den Namen das LDAP-Format. Verwenden Sie dabei als Trennzeichen Schrägstriche (/) anstelle von Kommas (,). Wenn der Name für einen Benutzer im LDAP-Verzeichnis beispielsweise folgendermaßen lautet:
uid=Sandra Schmidt,o=Renovations,c=DE
geben Sie in der Datenbank-ACL Folgendes ein:
uid=Sandra Schmidt/o=Renovations/c=DE
Wenn Sie den Namen einer nicht hierarchischen LDAP-Verzeichnisgruppe in eine ACL eingeben möchten, geben Sie nicht den Attributnamen, sondern lediglich den Attributwert an. Wenn der nicht hierarchische Name der LDAP-Gruppe beispielsweise wie folgt lautet:
cn=Manager
geben Sie in die ACL lediglich Folgendes ein:
Manager
Wenn Sie den Namen eines hierarchischen Gruppennamens eingeben möchten, schließen Sie auch LDAP-Attributnamen in ACL-Einträge ein. Wenn der hierarchische Name der Gruppe beispielsweise wie folgt lautet:
cn=Manager,o=Renovations
cn=Manager/o=Renovations
Beachten Sie, dass die Attribute nicht in der ACL angezeigt werden, wenn die von Ihnen angegebenen Attributnamen genau den in Notes verwendeten Attributen entsprechen (cn, ou, o, c).
Wenn Sie in einer ACL beispielsweise diesen Namen eingeben:
cn=Sandra Schmidt/ou=West/o=Renovations/c=DE
Da die Attribute genau den von Notes verwendeten Attributen entsprechen, wird der Name in der ACL wie folgt angezeigt:
Sandra Schmidt/West/Renovations/DE
Korrekte ACL-Einträge für LDAP-Benutzer
Tabelle 1. Korrekte ACL-Einträge für LDAP-Benutzer
Anmerkung: Wenn der LDAP-Name einen umgekehrten Schrägstrich, gefolgt von einem anderen Zeichen, enthält, lassen Sie diesen Schrägstrich beim Angeben des Namens in der Datenbank-ACL weg.
Anonymous
Jeder Benutzer oder Server, der auf einen Server zugreift, ohne zunächst eine Authentifizierung auszuführen, ist auf diesem Server unter dem Namen "Anonymous" bekannt. Der anonyme Datenbankzugriff wird Internetbenutzern und Notes-Benutzern zugewiesen, die keine Serverauthentifizierung ausgeführt haben.
Der anonyme Zugriff wird in der Regel für Datenbanken verwendet, die sich auf Servern befinden, die allgemein zugänglich sind. Sie können die Datenbankzugriffsebene, die einem anonymen Server oder Benutzer gewährt wurde, steuern, indem Sie den Namen "Anonymous" in der ACL angeben und eine entsprechende Zugriffsebene zuweisen. In der Regel weisen Sie anonymen Benutzern Leserzugriff zu.
Der Standard-ACL-Eintrag für "Anonymous" für alle Datenbankschablonendateien (.NTF-Dateien) weist die Zugriffsebene "Leser" auf, sodass die Benutzer oder Server erfolgreich von der Schablone lesen können, wenn sie .NSF-Dateien auf der Grundlage dieser Schablone erstellen oder aktualisieren.
Der Standard-ACL-Eintrag für "Anonymous" lautet für Datenbankdateien (.NSF-Dateien) "Kein Zugriff".
Tabelle 2. Bedingungen für anonymen Zugriff auf eine Datenbank
Tipp: Wenn Sie möchten, dass alle Benutzer eine Datenbankauthentifizierung ausführen, müssen Sie sicherstellen, dass "Anonymous" in der Datenbank-ACL die Zugriffsebene "Kein Zugriff" zugewiesen ist und dass die Optionen "Öffentliche Dokumente lesen" und "Öffentliche Dokumente schreiben" nicht aktiviert sind. Fügen Sie der ACL den Internetbenutzernamen mit der gewünschten Zugriffsebene hinzu.
Der Domino-Server verwendet den Gruppennamen "Anonymous" lediglich zur Zugriffskontrolle. Wenn beispielsweise "Anonymous" in der Datenbank-ACL Autorenzugriff zugewiesen ist, wird der echte Name des Benutzers im Autorenfeld dieser Dokumente angezeigt. Der Domino-Server kann im Autorenfeld des Dokuments nur den echten Namen anonymer Notes-Benutzer anzeigen, jedoch nicht die Namen anonymer Internetbenutzer. Autorenfelder stellen niemals eine Sicherheitsfunktion dar, unabhängig davon, ob der anonyme Zugriff verwendet wird oder nicht. Wenn aus Sicherheitsgründen die Gültigkeit des Autorennamens benötigt wird, sollte das Dokument signiert sein.
Replik-IDs
Wenn Sie einem Agenten in einer Datenbank gestatten möchten, @DbColumn oder @DbLookup zum Abrufen von Daten von einer anderen Datenbank zu verwenden, geben Sie die Replik-ID der Datenbank ein, die den Agenten in der ACL der Datenbank mit den abzurufenden Daten enthält. Der Datenbank mit dem Agenten muss mindestens Leserzugriff für die Datenbank zugewiesen sein, die die abzurufenden Daten enthält. Beide Datenbanken müssen sich auf demselben Server befinden. Ein Beispiel für eine Replik-ID in einer Datenbank-ACL ist 85255B42:005A8fA4. Sie können die Replik-ID in Groß- und in Kleinbuchstaben eingeben, schließen Sie sie jedoch nicht in Anführungszeichen ein.
Wenn Sie der ACL die Replik-ID nicht hinzufügen, kann die andere Datenbank weiterhin Daten abrufen, sofern die Zugriffsebene "-Default-" Ihrer Datenbank auf "Leser" oder höher gesetzt ist.
Bewertungsreihenfolge von ACL-Einträgen
ACL-Einträge werden in einer bestimmten Reihenfolge bewertet, um die Zugriffsebene zu bestimmen, die einem authentifizierten Benutzer gewährt wird, der versucht, auf die Datenbank zuzugreifen. Wenn die Serverauthentifizierung eines Benutzers fehlschlägt und der Server den Zugriff dennoch zulässt, wird der Zugriff so behandelt, als würde es sich beim Namen des Benutzers um "Anonymous" handeln.
Anmerkung: Wenn Sie in der ACL lediglich den allgemeinen Namen eingeben (z. B. Sandra E Schmidt), stimmt dieser Eintrag nur überein, wenn sich der Benutzername und der Datenbankserver in derselben Domänenhierarchie befinden. Wenn der Benutzer beispielsweise "Sandra E Schmidt" ist, deren hierarchischer Name "Sandra E Schmidt/West/Renovations" und der Datenbankserver "Fertigung/FactoryCo" lauten, erhält der Eintrag "Sandra E Schmidt" nicht die richtige Zugriffsebene für ACLs auf dem Server "Fertigung/FactoryCo". Der Name muss im vollständigen hierarchischen Format angegeben werden, damit der Benutzer die richtige Zugriffsebene für die ACLs auf den Servern in anderen Domänen erhält.
Anmerkung: Wenn der Benutzername mit einem expliziten Eintrag in der ACL übereinstimmt und gleichzeitig Mitglied einer Gruppe ist, die auch in der ACL aufgeführt ist, wird dem Benutzer immer die Zugriffsebene des expliziten Eintrags zugewiesen, selbst wenn die Gruppenzugriffsebene höher ist.
Zugehörige Tasks Maximaler Internetnamens- und Kennwortzugriff Gruppen erstellen und ändern Alternative Sprache und alternativen Namen zu einer Benutzer-ID hinzufügen Datenbank-ACL konfigurieren