[Close] Check password funktioniert bei mir nicht richtig

[Braintester]

Hi,

Infos:
8.5.3er Server und 6.5.3er bzw. einzelne 8.5.2er Clients.
Überall 6.5.3er Schablone;
Serverdokument:
Check passwords on Notes IDs: Yes
Personendokument:
Check password: Check password

Problem:
Wenn ich an Client A das Passwort für den Benutzer TEST ändere, passiert an Client B nichts und er nimmt weiterhin nur das alte Passwort.
Anderer Versuch, wenn ich beim ID-Vault dass Kennwort ändere, passiert an den Clients auch nichts.

Fragen:
Fehlt eine Einstellung s.h. oben?
Muss dies erst eingestellt sein, bevor ich Benutzer anlege?
Muss dies erst eingestellt sein, bevor ich die Umgebung einrichte?

Die Funktion wird nun nachträglich eingerichtet.

Mfg
Tobias

[Banni]

Hallo,

verstehe gerade nur Bahnhof 

Wenn Client A NICHT auf dasselbe ID-File zugreift wie Client B, dann works as designed. Das Passwort muss dann auf beiden Clients geändert werden.

Jan

[Braintester]

Richtig

Ziel ist es, wenn eventuell jemand eine ID Datei "verliert" (Russland/China Reisen-/zweigstellen)
Dass ich dass Passwort zurücksetze und sicher gehen kann, dass nur das aktuelle Passwort stimmt.

Der jenige mit der ID und dem alten Passwort sollte jetzt aufgeschmissen sein.

Sonst stell ich die Funktion im Personen-/Serverdokument in fragen.
Auch ohne diese beiden Enstellungen gilt ein Passwort, dass geändert wurde, für die ID.

Der Server soll prüfen, ob das aktuelle Passwort hinterlegt ist!
Ansonsten soll er des neue anfordern!
Genau wie er es macht, wenn ich die alten ID von Client A auf Client C kopieren und eine Arbeitsumgebung erstellen will, dann bekomm ich ja den Hinweis, dass das Passwort unterschiedlich ist.


mfg

[ascabg]

Hallo,

Nur mal so gefragt.

Steht denn in den Personen-Dokumenten im Feld "Password digest" (Digest des Kennwortes) im register "Administration" etwas drin?


Andreas

[Banni]

Ziel ist es, wenn eventuell jemand eine ID Datei "verliert" (Russland/China Reisen-/zweigstellen)
Dass ich dass Passwort zurücksetze und sicher gehen kann, dass nur das aktuelle Passwort stimmt.

Der jenige mit der ID und dem alten Passwort sollte jetzt aufgeschmissen sein.

Ich versteh immer weniger. Wie "verliert" jemand seine ID? Wird demjenigen der Rechner/Laptop etc. geklaut? In dem Fall sollte der Dieb zwar, sofern er an das System rankommt, die ID haben aber das Passwort immer noch nicht kennen. Wenn das Passwort auch noch lokal gespeichert und für jedermann zugänglich ist, dann habt ihr ein gravierendes Sicherheitsproblem.

Sollte "verlieren" gleich "Ich habe mein ID-File gelöscht" heißen, ist die ID nicht mehr da und der User braucht eh eine neue. Wenn dann noch jemand (bspw. Kollegen) eine ID und das aktuell gültige Passwort hat, dann wiederhole ich mich nochmal: Sicherheitsproblem.

Das ID-File sollte auch nur dem zugänglich sein, dem es gehört.

Wenn ich jetzt was nicht verstanden haben sollte, berichtige mich bitte.

Jan

[ascabg]

@Banni,

Es gibt User in der weiten Welt, die sich ihre PW in Textfiles notiren, so wie es auch Personen gibt, die sich die PIN ihrer EC-Karte mittels eines kleinen Post-Its auf die Rueckseite derselben kleben.

Auch gibt es Chefs, die Ihren Assistentinnen, das ID-File geben und auch das dazugehoerige PW.
Nun verlaesst die Assistentin den Chef, andere Abteilung, und nimmt das ID-File mit.


Andreas

[Braintester]

Danke dass wollte ich auch schreiben, wurde aber dankbarer weise ausgeloggt während dem schreiben

Also ascabg.
In dem Password digest steht ein Alphanummerischer Wert drin.


Außerdem richtung Benni noch:
Die ID Files sind idetisch (File-System-Kopie) und wurden auf zwei unterschiedlichen Rechnern eingebunden.

Es gibt zwei Fälle die ich hier anspreche:
1.: Client A ändert passwort. Client B sollte das abprüfen.
2.: Server (admin) änder passwort. Beide Clients sollten das prüfen.
Nicht beim einloggen in die Arbeitsumgebung sondern beim Zugriff auf das Mailfile und den Kalender.
(eventuell auch früher möglich?)

Hierzu gibt es ja die Warnmeldung, dass das Kennwort auf einer anderen Kopie dieses Mail-Files anders ist, und erst an dieses angeglichen werden muss, bevor man darauf zugreifen darf.

mfg

[Wolfgang]

Hallo Tobias,

die Funktion der Passwortüberprüfung lässt sich auf jeden Fall auch nachträglich einrichten. Das muss nicht bereits beim Anlegen des Benutzers passieren.
Ich weiß allerdings nicht mehr, ob Du nach der Einstellung im Serverdokument den Server nochmal starten musst.

Gruß
Wolfgang

[Axel]

Ich weiß allerdings nicht mehr, ob Du nach der Einstellung im Serverdokument den Server nochmal starten musst.

Bei fast allen Änderungen im Server-Dokument muss der Server neugestartet werden.

Axel

[Braintester]

Der Eintrag wurde schon vor einigen Wochen im Serverdokument gesetzt, und ab und zu neugestartet.

Aber nur zur Kontrolle:

Ich muss nur dieses hier einstellen:
Serverdokument:
Check passwords on Notes IDs: Yes
Personendokument:
Check password: Check password

Und dann sollte der User zwar in die Arbeitsumgebung kommen, aber nicht in das Mail-File auf dem Server?

Mfg

EDIT:
Kann es sein, dass es bis zu einem Tag dauert, bis die Passwortänderung erzwungen/erkannt wird?
Weil mein Testaufbau von gestern war heut früh nur noch einer zugänglich und musste erst das Passwort angleichen.
Gibt es da einen Prozess der das erkennt/abarbeitet? Kann man das beschleunigen?


EDIT2: Ja und zwar ist der Administrationsprozess verantwortlich. dieser muss das Feld "Last change date" aktuallisieren. Wenn dieses dann mit der Uhrzeit passt, dann wird erst das neue Kennwort verlangt.
Hierzu muss man im AdminP bei Normal Request Settings ein intveral definieren. bei uns steht da jetzt nichts drin.Wenn kein interval  angegeben ist, wann führt er das dann aus?

(Die Anforderung im AdminP lt. Buch lautet Change User Password in Domino Directory)
Gibts anstatt ein intervall festzulegen auch die möglichkeit, dass er dies einfach sobald wie möglich ausführt?Welches Intervall ist zu empfehlen?

[Wolfgang]

... bei uns steht das Intervall auf 10 Minuten ...

[Gandalf98]

Hi

Num mal langsam...

Die kennwortänderung nicht über mehrere ID-Dateine übertragen. Da die Änderung im Personendokument durchgeführt wir wird das Kennwort erst bei dem Zugriff auf eine Serverdatei abgefragrt. Dabei stellt der Server fest PW unteschiedlich. Ende des Zugriffst.

Lokal kann der User weiterhin mit dem alten PW arbeiten.
Sollten mehrere Server dabei mitspielen müssen die Ändrungsanfragen in der Admin4.nsf immer zum Administrationsserver vom Dominoverzeichnis übertagen werden der dann die änderungen im Personen dokument durchführt und dann wieder zu dem Server zurück repliziert werden.

Gruß
Michael

[Braintester]

Die kennwortänderung nicht über mehrere ID-Dateine übertragen. Da die Änderung im Personendokument durchgeführt wir wird das Kennwort erst bei dem Zugriff auf eine Serverdatei abgefragrt. Dabei stellt der Server fest PW unteschiedlich. Ende des Zugriffst.

Und dann sollte der User zwar in die Arbeitsumgebung kommen, aber nicht in das Mail-File auf dem Server?

Denke Arbeitsumgebung und ID file war hier des selbe gemeint und Serverdatei und Mail-File auf dem Server ist auch des selbe.


Also. Ich teste hier wie verrückt. Wenn ich Passwörter ändere, passiert nichts. Dann ändere ich das Passwort nochtmal, dann hat der AdminP gleich 2 Prozesse hintereinander dazu ausgeführt.
Mir fehlt sehr stark die regelmäßigkeit.

[Gandalf98]

HI

wie viele Server sind in eurer Umgebung vorhanden und als Homeserver für User genutzt?

Der Adminp braucht immer eine bischen um einträge zu machen, das Abarbeiten der einträge geschiht anhnad von einstellungen im Serverdokument (von denen man im normalfall die Finger lässt). Es gibt unterschideliche abarbeitungszeiträume für die werschiedenen Anweisungen in der admin4.nsf plus die replikationszeiten zwischen den Servern.
Für den adminp gibt es einige tell befehle je nach prozess.
Mehr dazu steht in der Hilfe.

EDIT2: Ja und zwar ist der Administrationsprozess verantwortlich. dieser muss das Feld "Last change date" aktuallisieren. Wenn dieses dann mit der Uhrzeit passt, dann wird erst das neue Kennwort verlangt.
Hierzu muss man im AdminP bei Normal Request Settings ein intveral definieren. bei uns steht da jetzt nichts drin.Wenn kein interval  angegeben ist, wann führt er das dann aus?

Intervall anforderungen werden innerhalb von 60 Minuten durtchgeführt.

Gruß
Michael

[Braintester]

HI,

ich sehe das jetzt das ganze am AdminP liegt, und der etwas verzögert ausführt. Habe eigentlich sofort Ergebnise erwartet, aber anscheinend dauerts manchmal einfach einen Tag bis was passiert.
Oder es bei den Clients ankommt.
(btw. Wir haben nur einen Server)

MFg
Thx für die Beiträge
Tobias