• Platzhaltereinträge
• Benutzer, Server und Gruppennamen (einschließlich Benutzer- und Gruppennamen von Internet-Clients)
• Alternative Namen
• LDAP-Benutzer
• Anonymous für den anonymen Zugriff durch Internetbenutzer und Notes-Benutzer
• Datenbank-Replik-IDs

Verwenden Sie beim Hinzufügen von Namen zur ACL das vom IBM® Lotus® Domino(TM)-Serveradministrator zugewiesene hierarchische Format. Beispiel:

Sandra E Müller/West/Acme/DE

Platzhaltereinträge

Um den allgemeinen Zugriff auf eine Datenbank zu ermöglichen, können Sie hierarchische Namen mit einem Platzhalter (*) in der ACL eingeben. Sie können Platzhalter in der Komponente "Allgemeiner Name" und "Unterorganisation" verwenden.

Benutzern und/oder Servern, für die in der ACL nicht bereits ein Benutzer- oder Gruppeneintrag vorhanden ist und deren hierarchische Namen Komponenten mit einem Platzhalter enthalten, wird die höchste Zugriffsebene zugewiesen, die in den übereinstimmenden Einträgen gefunden wird.

Beispiel für einen ACL-Eintrag im Platzhalterformat:

*/Grafik/Produktion/Acme/DE

Maria Zenker/Grafik/Produktion/Acme/DE

Michael Bauer/Grafik/Produktion/Acme/DE

Sandra Braun/Dokumentation/Produktion/Acme/DE

Al Nelson/Acme/DE

Benutzernamen

Sie können einer ACL die Namen von einzelnen Personen mit zertifizierten IBM® Lotus® Notes®-Benutzer-IDs oder die Namen von Internetbenutzern zuweisen, die eine Namens- und Kennwort- oder SSL-Clientauthentifizierung durchführen.

• Geben Sie für Notes-Benutzer den vollständigen hierarchischen Namen pro Benutzer ein, z. B. Helmut Becker/Vertrieb/Acme, unabhängig davon, ob der Benutzer sich in derselben hierarchischen Organisation befindet wie der Server, auf dem die Daten gespeichert sind.
• Bei Internetbenutzern müssen Sie den ersten Namen eingeben, der im Feld "Benutzername" des Personendokuments angezeigt wird. Sie können im Feld "Benutzername" mehrere Aliasnamen eingeben. Der erste Eintrag wird jedoch für die Authentifizierung verwendet. Daher sollte dieser Eintrag in allen Domino ACLs verwendet werden, d. h. in allen Serverdateien und Datenbank-ACLs.

Weitere Informationen zum Einrichten eines maximalen Zugriffs für Internetbenutzer finden Sie unter "Maximaler Internetnamens- und Kennwortzugriff".

Servernamen

Sie können einer ACL Servernamen hinzufügen, um zu steuern, welche Änderungen eine Datenbank von einer Datenbankreplik erhält. Um mehr Sicherheit zu gewährleisten, verwenden Sie den vollständigen hierarchischen Namen des Servers, z. B. Server1/Vertrieb/Acme, unabhängig davon, ob sich der Name des hinzuzufügenden Servers in einer anderen hierarchischen Organisation befindet als der Name des Servers, auf dem die Datenbank gespeichert ist.

Gruppennamen

Sie können der ACL einen Gruppennamen, zum Beispiel "Schulung", hinzufügen, um mehrere Benutzer oder Server mit den gleichen Zugriffsanforderungen aufzunehmen. Benutzer müssen mit einem primären hierarchischen Namen oder einem alternative Namen in Gruppen aufgeführt sein. In Gruppen können auch Platzhaltereinträge für Mitglieder enthalten sein. Bevor Sie einen Gruppennamen in einer ACL verwenden können, müssen Sie die Gruppen in einem Domino-Verzeichnis oder in einem LDAP-Verzeichnis erstellen, das zur Gruppenerweiterung in der Verzeichnisverwaltungsdatenbank konfiguriert wurde.

Tipp Verwenden Sie für die Manager einer Datenbank keine Gruppennamen, sondern einzelne Namen. Wenn Benutzer den Befehl "Erstellen - Andere - Spezial - Memo an Datenbankmanager senden" wählen, kennen sie so den Adressaten.

Gruppen stellen eine praktische Möglichkeit zum Verwalten einer Datenbank-ACL dar. Die Benutzung einer Gruppe in der ACL bietet die folgenden Vorteile:

• Sie können auch einen Gruppennamen anstelle einer langen Liste von einzelnen Namen zu einer ACL hinzufügen. Wenn eine Gruppe in mehreren ACLs aufgeführt ist, können Sie das Gruppendokument im Domino-Verzeichnis oder dem LDAP-Verzeichnis ändern und müssen nicht einzelne Namen zu mehreren Datenbanken hinzufügen oder dort löschen.
• Sie können die Zugriffsebene für mehrere Benutzer oder Server gleichzeitig ändern.
• Mithilfe der Gruppennamen können Sie die Verantwortung der Gruppenmitglieder oder den Aufbau einer Abteilung bzw. Firma wiedergeben.

Gruppe von Mitarbeitern, die das Unternehmen verlassen haben

Wenn ein Mitarbeiter aus einer Organisation ausscheidet, sollte der Domino-Administrator den Namen aus allen Gruppen im Domino-Verzeichnis löschen und der Gruppe hinzufügen, die für Benutzer verwendet wird, die die Organisation verlassen haben, und die keinen Zugriff auf Server hat. Wenden Sie sich an Ihren Serveradministrator, um sicherzustellen, dass die Namen solcher Mitarbeiter aus den ACLs aller Datenbanken Ihrer Organisation entfernt werden. Stellen Sie sicher, dass die Gruppe vom Typ "Ausgeschieden" zu den ACLs hinzugefügt wird und dass dieser Gruppe die Zugriffsebene "Kein Zugriff" zugewiesen wird.

Sie können dazu auch eine Gruppe ohne Zugriff erstellen. Eine Gruppe ohne Zugriff enthält die Namen der Notes-Benutzer, die keinen Zugriff mehr auf die Domino-Server haben. Wenn Sie eine Person aus dem Domino-Verzeichnis löschen, können Sie diesen Benutzer zur Gruppe ohne Zugriff hinzufügen, sofern diese Gruppe erstellt wurde. (Wenn diese Gruppe nicht erstellt wurde, wird ein entsprechendes Dialogfeld angezeigt.)

Weitere Informationen zu Gruppen ohne Zugriff finden Sie in der Lotus Domino Administratorhilfe.

Alternative Namen

Alternative Namen sind optionale Aliasnamen, die vom Administrator registrierten Notes-Benutzern zugewiesen werden, häufig, um einen Namen in zwei unterschiedlichen Zeichensätzen zu veröffentlichen, z. B. Deutsch und Kanji. Alternative Namen können zu ACLs hinzugefügt werden. Ein alternativer Name bietet dieselbe Sicherheitsstufe wie der primäre hierarchische Name des Benutzers. Ein Beispiel für einen Benutzernamen im alternativen Namensformat ist Sandra Müller/ANWest/ANVerkauf/ANAcme. "AN" ist ein alternativer Name.

LDAP-Benutzer

Sie können ein sekundäres LDAP-Verzeichnis zum Authentifizieren von Webbenutzern verwenden. Dadurch können Sie die Namen dieser Internetbenutzer zu Datenbank-ACLs hinzufügen, um den Zugriff dieser Benutzer auf die Datenbanken festzulegen.

Sie können in diesem sekundären LDAP-Verzeichnis auch Gruppen erstellen, die die Namen der Internetbenutzer enthalten, und die Gruppennamen in die ACLs von Notes-Datenbanken eintragen. Beispielsweise versucht ein Internetbenutzer, über den Domino-Web-Server auf eine Datenbank zuzugreifen. Wenn der Benutzer erfolgreich vom Web-Server authentifiziert wurde und wenn die ACL eine Gruppe mit dem Namen "Web" enthält, kann der Server den Namen des Webbenutzers außer im primären Domino-Verzeichnis auch in der Gruppe "Web" im fremden LDAP-Verzeichnis suchen. Damit dieses Szenario funktioniert ist, muss die Verzeichnisverwaltungsdatenbank auf dem Web-Server ein LDAP-Verzeichnisverwaltungsdokument für das LDAP-Verzeichnis enthalten, in dem die Gruppenerweiterungsoption aktiviert ist. Sie können diese Funktion auch verwenden, um für ACL-Überprüfungen die Namen von Notes-Benutzern nachzuschlagen, die in einer Gruppe eines fremden LDAP-Verzeichnisses aufgeführt sind.

Wenn Sie einer Notes-Datenbank-ACL den Namen einer Gruppe oder eines Benutzers aus einem LDAP-Verzeichnis hinzufügen, verwenden Sie das LDAP-Namensformat, aber mit Schrägstrichen als Trennzeichen (/) und nicht mit Kommas (,). Wenn der Namen eines Benutzers im LDAP-Verzeichnis zum Beispiel folgendermaßen lautet:

uid=Sandra Müller,o=Acme,c=DE

uid=Sandra Müller/o=Acme/c=DE

cn=Manager

Manager

cn=Manager,o=Acme

cn=Manager/o=Acme

Wenn Sie beispielsweise diesen Namen in eine ACL eingeben:

cn=Sandra Müller/ou=West/o=Acme/c=DE

Sandra Müller/West/Acme/DE

Anonymer Datenbankzugriff wird Internet- und Notes-Benutzern gewährt, die noch keine Authentifizierung mit dem Server durchgeführt haben. Sie können die Ebene des Datenbankzugriffs steuern, der einem anonymen Benutzer oder Server zugewiesen ist, indem Sie den Namen "Anonymous" in die Zugriffskontrollliste eingeben und die entsprechende Zugriffsebene zuweisen. Im Allgemeinen weisen Sie anonymen Benutzern Leserzugriff auf eine Datenbank zu.

In der folgenden Tabelle sind die unterschiedlichen Zugriffsmöglichkeiten anonymer Benutzer auf Datenbanken aufgeführt:

Zugewiesener Zugriff	Anonymer Zugriff aktiviert für Internetprotokoll	Anonymer Zugriff nicht aktiviert für Internetprotokoll
Anonymer Zugriff zugewiesen in der Datenbank-ACL	Benutzer greifen auf eine Datenbank mit der im Eintrag Anonymous" angegebenen Zugriffsebene zu. Wenn der Zugriff für "Anonymous" auf "Leser" gesetzt ist, haben anonyme Benutzer, die auf die Datenbank zugreifen, Lesezugriff auf die Datenbank.	Die Benutzer werden zur Authentifizierung aufgefordert, wenn sie versuchen, auf eine Ressource auf dem Server zuzugreifen. Wenn der Benutzer nicht in der Datenbank enthalten ist (durch einen Gruppeneintrag, einen Platzhaltereintrag oder wenn der Benutzername explizit aufgeführt ist), greift der Benutzer mit der Zugriffsebene "-Default-" auf die Datenbank zu.
Anonyme Benutzer sind in der Datenbank-ACL nicht aufgeführt	Anonyme Benutzer greifen mit der Zugriffsebene "-Default-" auf die Datenbank zu. Wenn für "-Default-" beispielsweise "Leser" angegeben ist und in der ACL kein Eintrag "Anonymous" vorhanden ist, haben anonyme Benutzer, die auf die Datenbank zugreifen, Lesezugriff.
Anonymen Benutzern ist in der Datenbank-ACL "Kein Zugriff" zugewiesen Hinweis Die Berechtigungen "Öffentliche Dokumente lesen" und "Öffentliche Dokumente schreiben" sollten deaktiviert sein.	Die Benutzer werden zur Authentifizierung aufgefordert, wenn Sie auf die Datenbank zugreifen. Wenn die Authentifizierung erfolgreich durchgeführt wurde, wird Ihnen die in der ACL angegebene Zugriffsebene zugewiesen.

Anonyme Benutzer (solche, denen durch den Eintrag "Anonymous" und solche, denen durch den Eintrag "-Default-" Zugriff auf die Datenbank gewährt wurde), die Aktionen ausführen möchten, die nicht Ihrer Zugriffsebene entsprechen, werden zur Authentifizierung aufgefordert. Wenn "Anonymous" beispielsweise auf "Leser" gesetzt ist und ein anonymer Benutzer versucht, ein neues Dokument zu erstellen, wird dieser Benutzer zur Authentifizierung durch Name und Kennwort aufgefordert.

Tipp Wenn alle Benutzer vor dem Zugriff auf eine Datenbank authentifiziert werden sollen, stellen Sie sicher, dass sich der anonyme Benutzer in der Datenbank-ACL befindet und die Zugriffsebene "Kein Zugriff" zugewiesen ist, und fügen Sie den Namen des Internetbenutzers zur ACL hinzu. Weisen Sie dabei die gewünschte Zugriffsebene zu. Stellen Sie außerdem sicher, dass die Berechtigungen "Öffentliche Dokumente lesen" und "Öffentliche Dokumente schreiben" in der Datenbank-ACL nicht aktiviert sind.

Der Domino-Server verwendet den Gruppenname "Anonymous" lediglich zur Überprüfung der Zugriffskontrolle. Verfügt "Anonymous" beispielsweise über Autorenzugriff in der Datenbank-ACL, wird der richtige Name des Benutzers im Autor-Feld der Dokumente angezeigt, die der Benutzer in der Datenbank erstellt hat. Der Domino-Server kann im Autor-Feld des Dokuments nur den richtigen Namen von anonymen Notes-Benutzern anzeigen, aber nicht von anonymen Webbenutzern. Autorenfelder sind niemals eine Sicherheitsfunktion, unabhängig davon, ob der anonyme Zugriff verwendet wird; wenn die Gültigkeit des Autornamens aus Sicherheitsgründen benötigt wird, muss das Dokument signiert werden.

Replik-IDs

Damit ein Agent einer Datenbank mithilfe von @DbColumn oder @DbLookup Daten aus einer anderen Datenbank abrufen kann, geben Sie die Replik-ID der Datenbank ein, die den Agenten in der ACL der Datenbank mit den abzurufenden Daten enthält. Für die Datenbank, die den Agent enthält, muss mindestens Leserzugriff für die Datenbank eingerichtet sein, die die abzurufenden Daten enthält. Beide Datenbanken müssen sich auf demselben Server befinden. Ein Beispiel für eine Replik-ID in einer Datenbank-ACL ist 85255B42:005A8fA4.

Wenn Sie die Replik-ID nicht zur Zugriffskontrollliste hinzufügen, kann die andere Datenbank die Daten immer noch laden, wenn die Zugriffsebene "-Default-" Ihrer Datenbank Leser oder höher ist.

Um die Replik-ID einer Datenbank festzustellen, wählen Sie "Datei - Datenbank - Eigenschaften" und klicken Sie auf "Info". Sie können auch "Datei - Datenbank - Gestaltungsübersicht" und anschließend unter "DB-Info wählen" die Option "Replizierung" aktivieren.

So fügen Sie eine Replik-ID zur ACL hinzu

Geben Sie die Replik-ID aus dem Dialogfeld "Gestaltungsübersicht" in die ACL ein oder kopieren Sie sie und fügen Sie sie ein. Sie können auch die Replik-ID vom Register "Info" des Dialogfeldes "Eigenschaften: Anwendung" eingeben. Sie können die Replik-ID in Groß- oder Kleinbuchstaben eingeben, Sie dürfen diese jedoch nicht in Anführungszeichen setzen.

Auswertungsreihenfolge für ACL-Einträge

ACL-Einträge werden in einer bestimmten Reihenfolge ausgewertet, um die Zugriffsebene festzulegen, die einem authentifizierten Notes-Benutzer zugewiesen wird, der auf eine Datenbank zugreifen möchte.

• Die ACL überprüft zunächst den Benutzernamen daraufhin, ob er mit einem der ACL-Einträge übereinstimmt. Die ACL überprüft alle übereinstimmenden Benutzernamen. Sandra E Müller/West/Acme kann beispielsweise den Einträgen Sandra E Müller/West/Acme/DE und Sandra E Müller zugewiesen werden. Für den Fall, dass zwei verschiedene Einträge für eine Person über unterschiedliche Zugriffsebenen verfügen (die z. B. von verschiedenen Administratoren zu unterschiedlichen Zeitpunkten angewendet wurden), würde dem Benutzer, der versucht, auf die Datenbank zuzugreifen, die höchste Zugriffsebene sowie alle Zugriffsberechtigungen der beiden Einträge für diesen Benutzer in der ACL gewährt. Dies kann auch der Fall sein, wenn der Benutzer alternative Namen verwendet.

  Hinweis Wenn Sie in der ACL lediglich den allgemeinen Namen eingeben (z. B. Sandra E Schmidt), stimmt dieser Eintrag nur überein, wenn sich der Benutzername und der Datenbankserver in derselben Domänenhierarchie befinden. Wenn der Benutzer beispielsweise Sandra E Schmidt ist, deren hierarchischer Name Sandra E Schmidt/West/Acme und der Datenbankserver Produktion/FactoryCo lauten, erhält der Eintrag Sandra E Schmidt nicht die richtige Zugriffsebene für ACLs auf dem Server Produktion/FactoryCo. Der Name muss im vollständigen hierarchischen Format angegeben werden, damit der Benutzer die richtige Zugriffsebene für die ACLs auf den Servern in anderen Domänen erhält.

• Wenn es für den Benutzernamen keinen Treffer gibt, überprüft die ACL, ob es einen Gruppennamen gibt, der zugeordnet werden kann. Wenn es für eine Person, die auf eine Datenbank zugreift, mehr als einen passenden Gruppennamen gibt - wenn die Person z. B. Vertriebsmitarbeiter ist und es die Gruppeneinträge "Vertrieb/West/Acme" und "Vertrieb/Acme" gibt -, werden der Person die höhere der beiden Zugriffsebenen und alle Zugriffsrechte der beiden Einträge für diese Gruppe in der ACL zugewiesen.

  Hinweis Wenn der Benutzername mit einem expliziten Eintrag in der ACL übereinstimmt und gleichzeitig Mitglied einer Gruppe ist, die auch in der ACL aufgeführt ist, wird dem Benutzer immer die Zugriffsebene des expliziten Eintrags zugewiesen, selbst wenn die Gruppenzugriffsebene höher ist.

• Wenn kein Gruppenname zugeordnet werden kann, überprüft die ACL, ob es einen Platzhaltereintrag gibt, der zugeordnet werden kann. Wenn es für die Person, die auf die Datenbank zugreifen möchte, mehr als einen Platzhaltereintrag gibt, werden der Person die höchste Zugriffsebene und die Zugriffsrechte aller passenden Platzhaltereinträge zugewiesen.
• Wenn ein Benutzer, der auf die Datenbank zuzugreifen versucht, sowohl über einen Gruppen- als auch über einen Platzhaltereintrag verfügt, erfolgt der Zugriff über den Gruppeneintrag. Wenn die Gruppe "Vertrieb" beispielsweise über Leserzugriff und der Platzhaltereintrag "*/West/Acme" über Managerzugriff verfügt und beide Einträge für einen bestimmten Benutzer gelten, erhält dieser Leserzugriff auf die Datenbank.
• Wenn kein Eintrag der Datenbank-ACL zugeordnet werden kann, wird der Person die Zugriffsebene zugewiesen, die im Eintrag "-Default-" angegeben ist.

Datenbank-ACLs einrichten
Vorgabeeinträge in der ACL

Glossar