Restreindre l'accès des administrateurs
Vous pouvez spécifier différents niveaux d'accès pour différents types d'administrateurs de votre organisation. Par exemple, vous souhaiterez peut-être accorder l'accès « administrateur système » à seulement quelques personnes, alors que tous les administrateurs de votre équipe sont désignés comme administrateurs de base de données.
À propos de cette tâche
Les droits d'accès administrateur sont accordés de manière hiérarchique. La hiérarchie des privilèges ressemble à ceci :
- Administrateur à accès complet : obtient tous les droits et privilèges de tous les niveaux d’accès d’administration répertoriés.
- Administrateur : obtient tous les droits et privilèges de l'administrateur de base de données et de l'administrateur de la console complète (mais pas de l'administrateur système).
- Administrateur de console complet : obtient les droits et privilèges de l'administrateur de console en lecture seule (mais pas de l'administrateur système)
- Administrateur système : obtient les droits et privilèges de l'administrateur système restreint.
Vous n'avez pas besoin de répertorier un utilisateur individuellement dans chaque champ. L'ajout d'un utilisateur au niveau d'accès administrateur le plus élevé accorde automatiquement à cet utilisateur tous les privilèges répertoriés pour les niveaux subordonnés de la hiérarchie.
Pour restreindre l'accès de l'administrateur
Procédure
- Dans Domino ® Administrator, cliquez sur l'onglet Configuration et ouvrez le document Serveur.
- Cliquez sur l'onglet Sécurité .
- Dans la section Administrateurs , remplissez un ou plusieurs de ces champs, puis enregistrez le document. Pour tous ces champs, vous pouvez spécifier des noms hiérarchiques individuels, des groupes et des caractères génériques (par exemple, */Sales/Renovations ). Séparez plusieurs entrées par des virgules.Remarque : À l'exception du champ Administrateurs , tous ces champs sont vides par défaut, ce qui signifie que personne ne dispose de ces droits d'accès.
Tableau 1 . Descriptions de l'accès administrateur Champ
Action
Administrateurs à accès complet
Entrez les noms des administrateurs qui disposent d'un accès complet pour administrer le serveur. Il s'agit du plus haut niveau de privilège administratif.
Administrateurs
Entrez les noms des administrateurs pouvant administrer le serveur. La valeur par défaut de ce champ est le nom de l'administrateur qui a initialement configuré le serveur. Les administrateurs répertoriés ici disposent des droits suivants :
- Créer, mettre à jour et supprimer des liens de dossiers et de bases de données
- Créer, mettre à jour et supprimer des ACL de lien de répertoire
- Compacter et supprimer des bases de données
- Créer, mettre à jour et supprimer des index de texte intégral
- Créer des bases de données, des répliques et des modèles principaux
- Obtenez et définissez certaines options de base de données (par exemple, entrée/hors service, quotas de base de données, etc.)
- Utiliser le suivi des messages et suivre les sujets
- Utiliser la console pour administrer à distance les serveurs UNIX ™
- Émettez n’importe quelle commande de console distante
Remarque : Si vous utilisez le contrôleur de serveur ( Java ™ ) et que vous entrez un nom de groupe dans ce champ, le groupe doit avoir un type de groupe polyvalent pour permettre aux noms d'administrateur d'apparaître dans le champ Administrateurs.Remarque : Pour Domino ® 6.0 et versions ultérieures, si la variable NOTES.INIServer_Restrictedest utilisé pour restreindre l'accès au serveur, les administrateurs peuvent toujours ouvrir des bases de données sur le serveur.Administrateurs de bases de données
Entrez les noms des administrateurs qui seront responsables de l'administration des bases de données sur le serveur. Notez que les administrateurs de bases de données ne bénéficient pas automatiquement d'un accès Gestionnaire aux bases de données sur le serveur. Les utilisateurs répertoriés ici disposent uniquement des droits suivants :
- Créer, mettre à jour et supprimer des liens vers des dossiers et des bases de données
- Créer, mettre à jour et supprimer des ACL de lien de répertoire
- Compacter et supprimer des bases de données
- Créer, mettre à jour et supprimer des index de texte intégral
- Créer des bases de données, des répliques et des modèles principaux
- Obtenez et définissez certaines options de base de données (par exemple, entrée/hors service, quotas de base de données, etc.)
Administrateurs de consoles distantes complètes
Entrez les noms des administrateurs qui peuvent utiliser la console distante pour émettre des commandes vers ce serveur.
Administrateurs en lecture seule
Entrez les noms des administrateurs qui peuvent utiliser la console distante pour émettre uniquement les commandes qui fournissent des informations sur l'état du système, telles que SHOW TASKS et SHOW SERVER .
Les administrateurs en lecture seule ne peuvent pas émettre de commandes affectant le fonctionnement du serveur.
Administrateur du système
Entrez les noms des administrateurs autorisés à émettre une gamme complète de commandes du système d'exploitation sur le serveur.
Le type et la gamme de commandes dépendent du système d'exploitation du serveur. Par exemple, les administrateurs d'un serveur Linux ™ ne pourraient émettre que des commandes Linux ™ .
Remarque : Cette fonctionnalité nécessite que vous exécutiez le contrôleur de serveur Domino ® sur la machine serveur.Administrateur système restreint
Entrez les noms des administrateurs autorisés à émettre uniquement les commandes du système d'exploitation répertoriées dans le champ Commandes système restreintes .
Remarque : Cette fonctionnalité nécessite que vous exécutiez le contrôleur de serveur Domino ® sur la machine serveur.Commandes système restreintes
Entrez le sous-ensemble de commandes du système d'exploitation que les administrateurs système restreints peuvent émettre. Le type et la plage de commandes dépendent du système d'exploitation du serveur et des tâches que les administrateurs système restreints doivent effectuer.
Par exemple, vous souhaiterez peut-être avoir un administrateur système restreint pour gérer les files d'attente d'impression UNIX ™ . Saisissez les commandes UNIX ™ de gestion des files d'attente d'impression dans ce champ. Tous les noms que vous entrez dans le champ Administrateurs système restreints auront alors accès uniquement à ces commandes.
Résultats
Administrateurs à accès complet
À propos de cette tâche
Un administrateur à accès complet dispose du plus grand niveau d’accès administratif au serveur. La fonctionnalité d'administrateur à accès complet remplace la nécessité d'exécuter un client Notes ® localement sur un serveur. La création d'un administrateur à accès complet résout les problèmes de contrôle d'accès qui peuvent survenir lorsque les seuls gestionnaires d'une ACL de base de données quittent une organisation.
Les administrateurs à accès complet disposent des droits suivants :
- Tous les droits accordés aux administrateurs à chaque niveau d'accès (voir le tableau 1).
- Accès du gestionnaire, avec tous les privilèges d'accès activés, à toutes les bases de données sur le serveur, quels que soient les paramètres ACL de la base de données. Remarque : Les rôles ACL doivent toujours être activés manuellement pour les administrateurs à accès complet.
- Accès à tous les documents de toutes les bases de données, quels que soient les champs des noms de lecteurs.
- La possibilité de créer des agents qui s'exécutent en mode sans restriction avec des droits d'administration complets.
- Accès à toutes les données non cryptées sur le serveur.Remarque : L'administrateur à accès complet n'autorise pas l'accès aux données cryptées. L'utilisation de la clé privée de l'utilisateur spécifié est requise pour déchiffrer les documents chiffrés avec des clés publiques. De même, une clé secrète est requise pour décrypter les documents chiffrés avec des clés secrètes.
Activation du mode administrateur à accès complet
À propos de cette tâche
Pour travailler en mode administrateur à accès complet, un administrateur doit :
- Utilisez le client administrateur.
- Être répertorié dans le champ Administrateurs à accès complet dans la section Administrateurs de l'onglet Sécurité du document Serveur. Par défaut, ce champ est vide.
- Activez le mode d'administration d'accès complet dans le client Administrateur en sélectionnant . Si ce mode n'est pas activé, les utilisateurs n'auront pas un accès administrateur complet au serveur, même s'ils sont répertoriés comme administrateur à accès complet dans le document Serveur. Ils se verront plutôt accorder des droits d'administrateur.
Lorsque le mode administrateur à accès complet est activé, le titre de la fenêtre, le titre de l'onglet et la barre d'état du client l'indiquent. Il s'agit de rappeler aux utilisateurs qu'ils accèdent au serveur avec le niveau de privilège le plus élevé et qu'ils doivent donc procéder avec prudence.
Si un administrateur active le mode d'administration complète dans le client d'administration, ce mode est également activé pour Domino ® Designer et pour les clients Notes ® . L'accès administrateur complet se reflète également dans les titres des fenêtres, les titres des onglets et les barres d'état.
Si un utilisateur tente de passer en mode administrateur à accès complet, mais n'est pas répertorié comme tel dans le document Serveur, l'utilisateur se voit refuser l'accès complet et un message apparaît dans la barre d'état et sur la console du serveur. Le client sera en mode d'accès complet, mais cet utilisateur n'aura pas un accès administrateur complet à ce serveur particulier. Si l'utilisateur tente de changer de serveur, l'accès de cette personne est vérifié par rapport au document serveur du nouveau serveur.
Désactivation de la fonctionnalité d'administrateur à accès complet
Vous pouvez désactiver le champ Administrateurs à accès complet en définissant SECURE_DISABLE_FULLADMIN = 1 dans le fichier NOTES.INI . Ce paramètre désactive le privilège d'administrateur d'accès complet et remplace tous les noms répertoriés dans ce champ dans le document Serveur. Seul un utilisateur disposant d'un accès physique au serveur et pouvant modifier le fichier NOTES.INI du serveur peut définir ce paramètre NOTES.INI . Ce paramètre ne peut pas être défini à l'aide de la console du serveur, de la console distante ou défini dans le document Serveur.
Options de gestion de la fonctionnalité d'administrateur à accès complet
À propos de cette tâche
Il existe plusieurs façons d'accorder un accès complet à l'administrateur
- Créez un fichier spécial d'ID d'administrateur complet (par exemple, Administrateur complet/Ventes/Rénovations ) et indiquez uniquement ce nom dans le champ Administrateur complet. Vous devez ensuite soit vous connecter avec, soit passer à cet identifiant utilisateur afin d'obtenir ce niveau d'accès. Vous pouvez éventuellement configurer ce fichier d'identification pour exiger plusieurs mots de passe.
- Créez un certificateur au niveau de l'unité d'organisation pour accorder un accès administrateur complet et attribuez des identifiants supplémentaires aux administrateurs de confiance (par exemple, Jane Admin/Full Admin/Acme).
- Laissez le champ Administrateur d’accès complet vide. Ajoutez le nom d'une personne de confiance pour les situations d'urgence et supprimez-la lorsque la situation est résolue.
- Remplissez le champ Administrateur d’accès complet avec un ensemble limité d’administrateurs de confiance.
Vous pouvez également suivre la manière dont cette fonctionnalité est utilisée :
- Configurez le gestionnaire d'événements pour envoyer une notification via EVENTS4.NSF lorsque les privilèges d'administration d'accès complet sont invoqués.
- Toute activité de base de données effectuée à l'aide de l'accès administrateur à accès complet est enregistrée dans le journal d'activité de la base de données, sous Propriétés de la base de données.
- L'utilisation de la fonctionnalité est enregistrée par le serveur.