使用 xACL 保护因特网密码的安全

用来保护因特网密码的一种方式是使用扩展的 ACL（即 xACL）来基于命名层次结构中的级别，并在表单和字段级别来控制访问。对于存储在 Domino® 目录中的密码，管理员可以设置 xACL 以将因特网密码的访问限制为用户自己（以访问其自己的密码）和管理员（以允许对密码进行管理更改）。

过程

  1. 首先，为 Domino® 目录启用扩展访问权：
    1. 打开数据库，并选择文件 > 应用程序 > 访问控制。
    2. 确保在数据库的 ACL 中具有“管理者”访问权。
    3. 单击高级，然后选择启用扩展访问权。
    4. 系统提示以下内容时，单击是以继续：启用扩展访问控制将强制进行其他安全性检查。有关详细信息，请参阅“Domino Administrator 帮助”。是否要继续？
    5. 如果高级数据库 ACL 选项强制所有副本使用一致的访问控制表尚未启用，那么会提示您必须首先启用一致的访问控制。是否要立即启用？单击是。
    6. 出现提示如果有多个管理员管理此数据库的扩展访问控制，请对该数据库启用文档锁定以避免冲突时，单击确定。
    7. 在“访问控制表”对话框中单击确定。
    8. 消息正在启用扩展访问控制限制。这可能需要一些时间。显示时，单击确定。
  2. 接下来，设置扩展访问权以保护因特网密码：
    1. 打开数据库，并选择文件 > 应用程序 > 访问控制。
    2. 单击扩展访问权。此时将出现“扩展访问权限”对话框。
    3. 在“目标”窗格中，选择根目录 [ /] 并单击添加。
    4. 在“访问列表”窗格中，选择缺省值。
    5. 单击表单和字段访问权。此时出现“表单和字段”对话框。
    6. 在表单列表框中，选择个人。将“表单”的“访问”设置保留为空。
    7. 在字段列表框中：
    8. 单击确定。
    9. 对于“个人”表单中的 HttpPassword 和 dspHttpPassword（如果显示）设置重复此过程：
      表 1. “个人”表单中的“访问列表”条目
      访问列表条目 读访问权设置 写访问权设置
      自己 允许 允许
      [本地管理员组] 允许 允许
      [本地服务器组] 允许 允许
    注： 如果以前在访问列表中定义了匿名访问，那么应该将其设置为拒绝对“个人”表单中 HTTPPassword 和 dspHTTPPassword（如果显示）字段的读和写访问权。
    注： 为 Domino® 目录启用了 xACL 之后，LDAP 匿名访问将不受“所有服务器配置”文档中的字段列表控制。因为匿名的缺省 xACL 设置为“无访问权限”，所以一旦启用了 xACL，所有匿名 LDAP 搜索则都会失败。