Repliken und Lesefelder mit Gruppen

[AC]

Hi Leute,

ich habe recht seltsame Effekte bei folgender Konstellation:

Datenbank konsistente ACL mit Dokumenten in denen Lesefelder drin sind.

In diesen Lesefeldern ist eine Gruppe aus dem ServerNAB.

Deren Gruppenmitglieder arbeiten ausschliesslich lokal auf einer Replik.

Wenn ich nun an den Gruppe Mitglieder rausclösche bzw später wieder hineinnehme, passiert leider mit der Replik nicht das, was  sein sollte (Dokumente verschwinden nicht  bzw kommen nicht hinzu).

Was passiert hängt u.a. davon ab, ob generell in die DB am Server  neue Dokumente hinzukommen, ob die Dokumente am Server "angfasst" werden...


Meine Fragen:
1. Wer hat da ähnliche Erfahrungen gemacht.
2. Hätte ich auch seltsame Ergebnisse was das Verhalten angeht, wenn ich in den Leseflendern statt mit Gruppen aus dem NAB mit Userrolen aus der DB gearbeitet hätte und diese dann verändern würde?  
3. Was ist generell bei Zugriff, ACL und Replkation zu beachten ausser der konsistenten ACL ?


Leider hat das Thema grade einen aktuellen Hintergrund  :-(.
Einfach den Aussendienst neue Replik ziehen lassen geht nicht, weil zuviele Dokumente in der Anwendung sind (Replkation via Telefon).

Agenten hier vor Ort über die Dokumente jagen will ich auch nicht aus dem selben Grund.

Was die seltsamen Effekte im Detail angeht, ich müsste genau mal austesten was wann passiert.


Gruß Holcomb

[Glombi]

Bei der Replikation werden nur diejenigen Dokumente repliziert, die seit der letzten Replizierung erstellt oder geändert wurden.
In Deinem Fall änderst Du ja die Dokumente nicht, sondern die Gruppen im Domino Directory.
Um das zu beheben, muss das Replizierprotokoll und am besten auch noch das Cut-Off Datum gelöscht werden. Dann werden wieder alle Dokumente repliziert.
Die Replikation dauert aber dann erheblich länger, da ja erst der Index der zu replizierenden Dokumente von neuem aufgebaut werden muss. Über die Telefonleitung kommt da bestimmt wenig Freude auf.

Andreas

[Semeaphoros]

kACL zieht beim Erstellen der lokalen Replik einen Snapshot der gegenwärtigen Gruppen im Pub-Directory und arbeitet punkto Gruppenzuordnung mit diesem SchnapsSchuss. Ich hab leider im Moment keine Ahnung, wann dieser nachgeführt ist. Es ist also durchaus normal, dass ein Aendern von Gruppenzuordnungen nicht sofort bei den lokalen Repliken wirksam werden. Sicher bin ich nicht, aber ich vermute, dass das Arbeiten mit Rolllen stabiler wirkt.

[AC]

Hallo Andreas,

das bedeutet im Endeffekt, daß beim Thema Rechteänderung ich deutlich unflexibler bin bei Repliken als wenn ich nur auf dem Server arbeite.

Entsetzte Grüße, Holcomb

[AC]

Hallo Semeaphoros,

das mit den snapshot ist gut erklärt.
Wäre jetzt interessant zu wissen,  ob bei Änderungen der ACL (hier ja indirekt über die Gruppen aius dem NAB) das jemals nachgezogen wird .

Ich bin grade am Testen mit einem extra Notesclient und einer Test ID .


Grübelnde Grüße, Holcomb

[Semeaphoros]

kACL und Repliken wären bestimmt eine Abhandlung (und wohl auch ein paar Untersuchungen) wert

[koehlerbv]

SchnapsSchuss - SEMEAPHOROS !!!!!

[AC]

SchnapsSchuss - SEMEAPHOROS !!!!!

Den Schnaps brauch ich heute abend nach der gemachten Erkenntnis.  Einen doppelten !!!!

Holcomb  (probiert gerade, - nein nicht den Schnaps, das Replikverhalten im obigen Fall   <grmpf>)

[Glombi]

Wegen konsistenter ACL und lokalen Datenbanken: Wie Jens schon sagte, es wird eine Art Schnappschuß gemacht.
Was Du allerdings auch machen kannst - so ist meine Erfahrung: Der User muss in seinem persönlichen Adreßbuch die Gruppen aus dem öffentlichen haben. Bei einer Gruppenänderung und anschließendem Aktualisieren der Ansichten im pers. NAB (mit <Strg>+<Shift>+<F9>) zieht dann die neue Berechtigung auch in der lokalen Datenbank mit konsistenter ACL. D.h. der User sieht dann die Dokumente nicht mehr, da er nicht lesen kann.

Das ganze ist in der Praxis aber recht unhandlich, da ja Gruppen im pers. NAB quasi repliziert werden muessen.

Andreas

[AC]

Die haben bei uns eine Replik des Serveradressbuchs mit am Notebook.

Die müsste auch in der lokalen ini mit aufgeführt sein.

Auch bei mir hier im test reisst das keine Bäume heraus.

Holcomb

[Semeaphoros]

Gruppen werden nur im ersten Adressbuch gelesen, nicht in den sekundären. Das gilt jedenfalls für Server, nehme mal an, der Client macht es nicht anders.

[AC]

Also kurz mal meine Testergebnisse für die, die es interessiert:

Mein loakler Testuser = Schmidt
Als erstes war User Schmidt mit in der Gruppe im NAB die im Leserfeld steht.

Ich erzeuge die Replik.
Dann kommt auf dem Server ein Dokument hinzu mit der Gruppe im Leserfeld.  
User Schmidt hat jetzt 2 Dokumente in der Datebnak und sieht beide.  (soweit ok)

Ich lösche auf dem Server User Schmidt aus der Gruppe.

User Schmidt repliziert zwei dreimal, nix passiert.
Am Server sieht sie die Dokumente nicht,  lokal aber schon.
(Mist)

Ich erzeuge am Server ein Dokument ohne Leserfeld.

Schmidt repliziert und hat nur noch das neue Dokument in der Ansicht (ok). In den DB Eigenschaften sieht man, daß es 3 Dokumente sind.

Ich setze User Schmidt wieder in die Gruppe ein.
Schmidt repliziert mehrmals (plus F5 drücken obwohl das eigentlich keine Rolle spielen sollte mein ich)

Nix passiert. Sie sieht die 2 Dokumente die sie eigentlich sehen sollte nicht. (Mist)

Ich fasse eins dieser beiden an und speichere es manuell am Server.

User Schmidt repliziert und sieht nun aber  beide, auch das nicht veränderte.


Das ganze könnte man nochmal ausführlich testen auch noch mit anderen Varianten  <seufz>.

Was mein Problem im Produktiveinsatz angeht, werde ich mal abwarten.

Holcomb

[AC]

Zusammenfassung:

(ohne Gewähr)
Sieht so aus, daß auf der lokalen Replik die Rechteänderungen mittels Änderung der Gruppe im NAB erst greifen, wenn Dokumente in die DB hinzukommen oder rausgelöscht werden.

Also es muß eine Änderung was Dokumente angeht in der DB sein. Es müssen nicht die betroffenen Dokumente selbst geändert werden , es reicht aus, wenn andere Dokumente hinzukommen.  

Allerdings bleiben die Dokumente die man dann nicht mehr sieht in der DB drin (ob die irgenwann mal rausfallen weiß ich nicht).

Wie es sich verhält wenn man über userroles das im Leserfeld statt über Gruppen abhandelt weiß ich nicht.

Frage an die Cracks:

Wie arbeitet ihr generell in dem Fall ?  

Mit Gruppen oder mit userrolles ?
Grad die Projektler die Kunden mit Aussendienst haben müssten doch da ins Grübeln kommen.

Schönen Abend, Alexander
 

[koehlerbv]

Bist Du Glombis Vorschlag schon mal gefolgt: Replizierprotokoll löschen und den ggf. vorhandenen "bösen Parameter" (Replizierparameter - andere - "Keine Dokumente replizieren, die vor dem ...")

Bernhard

[Glombi]

@Alexander: Von der Logik her dürfte es keinen Unterschied machen, ob Du Gruppen oder Rollen verwendest. Beides ändert ja Dokumentinhalte nicht.

Als Kundenberater empfehle ich den Einsatz von Rollen, da diese wesentlicher flexibler gehandhabt werden können. Der Kunde kann dann Gruppennamen beliebig austauschen, die Rollennamen bleiben.

Alles in allem ist das für Dein Szenario nicht besonders berauschend. Prinzipiell bin ich der Meinung, Du müsstest (bspw. per Agent) die Dokumente ändern, damit alles korrekt repliziert wird.
Es wäre allerdings vorher zu testen, wie viel länger eine Replikation dauert, wenn Du das Replikationsintervall löscht.

Andreas

[AC]

Bist Du Glombis Vorschlag schon mal gefolgt: Replizierprotokoll löschen und den ggf. vorhandenen "bösen Parameter" (Replizierparameter - andere - "Keine Dokumente replizieren, die vor dem ...")

Bernhard

Servus Bernhard,

nein habe ich nicht gemacht. Weder in meinem kleinen Testumfeld noch in der produktiven Anwendung.

Grund: Kommt wegen der Datenmenge in der produktive Anwendung eh nicht in Frage.


Ser´ s, Alexander

[AC]

@Alexander: Von der Logik her dürfte es keinen Unterschied machen, ob Du Gruppen oder Rollen verwendest. Beides ändert ja Dokumentinhalte nicht.

Als Kundenberater empfehle ich den Einsatz von Rollen, da diese wesentlicher flexibler gehandhabt werden können. Der Kunde kann dann Gruppennamen beliebig austauschen, die Rollennamen bleiben.

Alles in allem ist das für Dein Szenario nicht besonders berauschend. Prinzipiell bin ich der Meinung, Du müsstest (bspw. per Agent) die Dokumente ändern, damit alles korrekt repliziert wird.
Es wäre allerdings vorher zu testen, wie viel länger eine Replikation dauert, wenn Du das Replikationsintervall löscht.

Andreas

Guten Morgen Andreas,

mir scheint die Handhabung von Rollen auch besser und das werde ich bei neuen Programmierungen  auch so handhaben.

Bei uns mit Ausendienst in ganz D bzw. auch Ausland ist das Thema Replikation eben imme rzu beachten.

Und da gefällt es mir besser, wenn ich bei Änderungen dies direkt in der Datenbank machen kann,  da dies ja dann gleich repliziert werden sollte (weil es ja eine Änderung direkt in der betrffenden DB gibt).

Ferner auch wichtig. Ein Admin ändert vielleicht auch leichtfertiger eine Gruppe im NAB ohne ide Konsequenzen zu erahnen , selbst wenn dort ein Verwendungszweck drin steht (hier bei uns weniger der Fall, aber  wenn man für andere Firmen programmiert  ein Thema).  

Was jetzt uns hier angeht:
Ich musste drei Personen aus der betreffenden Gruppe rauswerfen, weil ich gesehen habe, daß die zu viele Dokumente repliziert haben, die sie gar nicht benötigen (Andere Firmensparte) .


Nach meinen gestrigen Tests zu urteilen müsste es ja funktionieren.
Sollten diese mal wieder im Haus sein (2 - 3 mal im Jahr) dann werde ich ihnen eine neue Replik anlegen.
Einen Agenten über die Dokumente zu jagen der die Lesefelder ändert habe ich nicht vor, da es eben zu viele Dokumente sind die dann auch repliziert werden müssen.

Was Benutzerrollen in Lesefeldern angeht, ich denke auch, daß das flexibler und sicherer ist.
Was die Replikation bei Änderungen bei der Zuteilung wer welche Rolle hat angeht, ich werde das, wenn ich etwas Zeit habe, auch noch mal kurz antesten.


Gruß Holcomb




 

[Trash]

Hallo,

ich hoffe ich werde nicht gleich wieder aus dem Forum geworfen, weil ich mit meinem ersten Beitrag einen zehn Jahre alten Thread wieder hoch hole.

Aber ich habe genau das hier beschriebene Problem.

Ich habe in Notes-Dokumenten in verschiedenen Datenbanken Leser-Felder in die berechtigte Gruppen eingetragen sind. Ein Agent ermittelt nächtens, wer Zugriff auf Dokumente benötigt und bestückt die Gruppen daraufhin mit den Namen der Mitarbeiter. An den Dokumenten findet dabei keine Änderung statt.

Das funktioniert online auch ganz gut, spätestens nach Neuanmeldung ziehen die Berechtigungen wie gewünscht und die entsprechenden Dokumente werden angezeigt.

Die Replizierung bekommt aber offensichtlich die neuen Rechte überhaupt nicht mit. Sie ist in wenigen Sekunden fertig und findet dabei keins der neu berechtigten Dokumente.

Den Tipp aus diesem Thread, eins der betroffenen Dokumente zu ändern, habe ich versucht, das führt aber auch nur manchmal (gefühlt nur jedes zweite Mal) zum Erfolg. Falls ja, werden dann aber tatsächlich meisst alle Dokumente repliziert, auch wenn nur eines geändert wurde.

Wenn ich die Replizierhistorie lösche, funktioniert alles wie gewünscht, dann habe ich aber leider lange Laufzeiten.

Also alles so, wie schon vor zehn Jahren hier beschrieben...  Hat vielleicht jemand mittlerweile neue Erfahrungen oder Ideen dazu? Kann man den lokalen "Berechtigungs-snapshot" irgendwie zum Neuaufbau zwingen?

Danke
Jens

[Tode]

Ihr setzt Immer noch R5 ein? Wenn nicht -> Mach einen neuen Thread im richtigen Forum auf (kannst ja auf diesen Verlinken)... Es ist einfach gegen jede Netiquette, einen uralten Thread auszugraben, besonders in einem Umfeld, wo Versionen eine ganz wesentliche Rolle für die Beantwortung der Fragen spielen...

[Trash]

Ja, sorry. Das hatte ich komplett übersehen.
Ich werde mein Anliegen gleich nochmal im richtigen Forum posten.

Nix für ungut
Jens