限制管理员访问

您可以为组织中的不同类型的管理员指定不同的访问级别。例如，您可能只想授予少数人“系统管理员”访问权限，而团队中的所有管理员都被指定为数据库管理员。

关于这个任务

管理员访问权限是分级授予的。权限层次如下：

  • 完全访问管理员 - 获得列出的所有管理访问级别的所有权利和特权。
  • 管理员——获得数据库管理员和完整控制台管理员（但不拥有系统管理员）的所有权利和特权。
  • 完全控制台管理员 - 获得仅查看控制台管理员（但不是系统管理员）的权利和特权
  • 系统管理员--获得受限系统管理员的权利和特权

您不需要在每个字段中单独列出用户。将用户添加到管理员访问权限的最高级别会自动授予该用户层次结构中下级级别列出的所有权限。

限制管理员访问

程序

  1. 在Domino ® Administrator 中，单击“配置”选项卡，然后打开“服务器”文档。
  2. 单击“安全”选项卡。
  3. 在“管理员”部分，填写一个或多个字段，然后保存文档。对于所有这些字段，您可以指定单独的层次名称、组和通配符（例如， */Sales/Renovations ）。使用逗号分隔多个条目。
    注意：除了管理员字段之外，所有这些字段默认都是空白的，这意味着没有人拥有这些访问权限。
    表1 .管理员访问说明

    场地

    行动

    完全访问管理员

    输入具有管理服务器完全权限的管理员的姓名。这是最高级别的管理特权。

    管理员

    输入可以管理服务器的管理员的姓名。此字段的默认值是最初设置服务器的管理员的名称。此处列出的管理员拥有以下权限：

    • 创建、更新和删除文件夹和数据库链接
    • 创建、更新和删除目录链接 ACL
    • 压缩和删除数据库
    • 创建、更新和删除全文索引
    • 创建数据库、副本和主模板
    • 获取和设置某些数据库选项（例如，服务内/服务外、数据库配额等）
    • 使用消息跟踪并跟踪主题
    • 使用控制台远程管理UNIX ™服务器
    • 发出任何远程控制台命令
    注意：如果您正在使用 ( Java ™ ) 服务器控制器并在此字段中输入组名，则该组的组类型必须为多用途，以允许管理员名称出现在管理员字段中。
    注意：对于Domino ® 6.0 及后续版本，如果NOTES.INI变量 Server_Restricted 用于限制服务器访问，管理员仍然可以在服务器上打开数据库。

    数据库管理员

    输入负责管理服务器上的数据库的管理员的姓名。请注意，数据库管理员不会自动被授予对服务器上的数据库的“管理员”访问权限。此处列出的用户仅拥有以下权利：

    • 创建、更新和删除文件夹和数据库链接
    • 创建、更新和删除目录链接 ACL
    • 压缩和删除数据库
    • 创建、更新和删除全文索引
    • 创建数据库、副本和主模板
    • 获取并设置某些数据库选项（例如，服务内/服务外、数据库配额等）

    完整的远程控制台管理员

    输入可以使用远程控制台向此服务器发出命令的管理员的姓名。

    仅查看管理员

    输入可以使用远程控制台仅发出提供系统状态信息的命令（例如SHOW TASKS和SHOW SERVER ）的管理员的姓名。

    只读管理员不能发出影响服务器操作的命令。

    系统管理员

    输入被允许向服务器发出所有操作系统命令的管理员的姓名。

    命令的类型和范围取决于服务器操作系统。例如， Linux ™服务器的管理员只能发出Linux ™命令。

    注意：此功能要求您在服务器上运行Domino ®服务器控制器。

    受限系统管理员

    输入仅被允许发出“受限系统命令”字段中列出的操作系统命令的管理员的姓名。

    注意：此功能要求您在服务器上运行Domino ®服务器控制器。

    限制系统命令

    输入受限系统管理员可以发出的操作系统命令子集。命令的类型和范围取决于服务器操作系统和受限系统管理员需要执行的任务。

    例如，您可能希望有一个受限的系统管理员来管理UNIX ™打印队列。在此字段中输入用于管理打印队列的UNIX ™命令。您在“受限的系统管理员”字段中输入的任何名称都只能访问这些命令。

结果

警告：在服务器文档的“安全”选项卡上的“完全访问管理员”、“管理员”和“数据库管理员”字段中列出的管理员可以删除该服务器上的任何数据库，即使他们没有在数据库 ACL 中被列为管理员。

完全访问管理员

关于这个任务

完全访问管理员拥有服务器最高级别的管理访问权限。完全访问管理员功能取代了在服务器上本地运行Notes ®客户端的需要。建立一个完全访问管理员可以解决当数据库 ACL 的唯一管理员离开组织时可能导致的访问控制问题。

完全访问管理员拥有以下权利：

  • 授予每个访问级别的管理员的所有权利（参见表 1）。
  • 管理员可以访问服务器上的所有数据库，并启用所有访问权限，而不管数据库 ACL 设置如何。
    注意：对于具有完全访问权限的管理员，仍必须手动启用 ACL 角色。
  • 访问所有数据库中的所有文档，无论读者姓名字段如何。
  • 能够创建以不受限制的模式运行并具有完全管理权限的代理。
  • 访问服务器上任何未加密的数据。
    注意：完全访问管理员不允许访问加密数据。需要使用指定用户的私钥来解密使用公钥加密的文档。类似地，解密用密钥加密的文档也需要密钥。

启用完全访问管理员模式

关于这个任务

为了在完全访问管理员模式下工作，管理员必须：

  • 使用管理员客户端。
  • 在服务器文档中“安全”选项卡的“管理员”部分中的“完全访问管理员”字段中列出。默认情况下，此字段为空。
  • 在管理员客户端中选择“管理”以启用“完全访问管理”模式 > 全面访问管理。如果未启用此模式，则用户将不具有对服务器的完全管理员访问权限，即使他们在服务器文档中被列为完全访问管理员。他们将被授予管理员权限。

启用完全访问管理员模式时，客户端的窗口标题、选项卡标题和状态栏会指示这一点。这是为了提醒用户，他们正在以最高级别的权限访问服务器，因此应谨慎行事。

如果管理员在管理客户机中启用完全管理模式，则Domino ® Designer 和Notes ®客户机也会启用此模式。完全管理员访问权限也反映在其窗口标题、选项卡标题和状态栏中。

如果用户尝试切换到完全访问管理员模式，但未在服务器文档中列出，则该用户将被拒绝完全访问，并且在状态栏和服务器控制台上会出现一条消息。客户端将处于完全访问模式，但该用户将没有对该特定服务器的完全管理员访问权限。如果用户尝试切换服务器，则会根据新服务器的服务器文档检查该用户的访问权限。

禁用完全访问管理员功能

您可以通过设置禁用“完全访问管理员”字段 SECURE_DISABLE_FULLADMIN = 1 在NOTES.INI文件中。此设置将禁用完全访问管理员权限并覆盖服务器文档中该字段列出的任何名称。只有对服务器具有物理访问权限并能编辑服务器的NOTES.INI文件的用户才能设置此NOTES.INI参数。无法使用服务器控制台或远程控制台设置此参数，也无法在服务器文档中设置。

管理完全访问管理员功能的选项

关于这个任务

有几种方法可以授予管理员完全访问权限

  • 创建一个特殊的“完整管理员”ID 文件 - 例如， “完整管理员/销售/装修” - 并且只将该名称放在“完整管理员”字段中。然后您必须使用该用户 ID 登录或切换到该用户 ID 才能获得此级别的访问权限。或者，您可以设置此 ID 文件以要求多个密码。
  • 创建 OU 级别的认证者，以授予完全管理员访问权限，并向受信任的管理员颁发附加 ID - 例如，Jane Admin/Full Admin/Acme。
  • 将“完全访问管理员”字段留空。在紧急情况下添加可信任个人的姓名，并在情况解决后将其删除。
  • 使用一组有限的受信任管理员填充“完全访问管理员”字段。

您还可以跟踪此功能的使用方式：

  • 配置事件处理程序，当调用完全访问管理权限时通过EVENTS4.NSF发送通知。
  • 使用完全访问管理员访问权限完成的任何数据库活动都会记录在数据库属性下的数据库活动日志中。
  • 服务器会记录该功能的使用情况。