[gelöst] Zertifizierer aus dem CA entfernen? - The name to act on was not found

[KoshNaranek]

Hallo,
im November haben wir unseren 6.5er Server "mal eben" auf 8.5.2FP3 gehoben. Der 6.5er ist uns durch Mac-Mails dauernd abgeraucht - leider hatte ich zu der Zeit Urlaub...

Inzwischen haben wir einige Problemchen. Scheinbar hat es ein paar der migrierten Zertifizierer inzwischen zerbröselt.
Wir können bei einigen keine User mehr Rechnen. Auch die bestehenden erzeugen div. Fehlermeldungen im AdminP - funktionieren aber sonst gut.

Sagt jemandem die Fehlermeldung " Title: *unser* Directory Path: names.nsf; Error: The name to act on was not found in the Domino Directory." etwas?
Diese Meldung kommt beim neu rechnen von Usern mit einem defekten CA-Zertifiziere. Die User können den Account dann auch nicht nutzen und erhalten bei der Einrichtung die Meldung "...wurde noch nicht zertifiziert".
Die Fehlermeldung kommt auch, wenn einer der Bestandsuser z.B. seine Telefonnummer ändert o.ä.

Wenn wir die User ganz normal mit der Zertifizierer-ID rechnen: alles gut.
Benutzen wir einen der defekten CA-Migrierten, kommt die o.g. Fehlermeldung.

Bei IBM habe ich zwar was gefunden - aber die Beschreibung passt nicht zu unseren Fehlern. Auch das erwählte "load updall names.nsf -T $certifieres" hat man damals wohl gemacht bzw. war es wohl ein "updall names.nsf" - aber da sollte das ja mit drin gewesen sein?! Oder? Die Schablone der names.nsf ist auf jeden Fall mit 8.5 korrekt...

Die Reparatur der Zerts. nutzt nichts. Der Fehler bleibt. Also nun die Frage: Wie und wo muss ich die alles löschen, damit ich sie komplett neu migrieren kann? Ich vermute mal, in der $Certifiers-View der names.nsf und die entsprechenden ICL-Datenbanken muss ich wohl ebenfalls killen ... sonst noch was?

Gibt es evtl. eine hidden view, die nicht sauber ist? Ich bin für jeden Tipp dankbar.

Server: 8.5.2 FP3 - Admin-Clients: 8.5.2 und 8.5.3 -> gleicher Fehler.
Fast alle User haben noch den 6.5.4er Client.

was ich so gefunden habe:
http://publib.boulder.ibm.com/infocenter/domhelp/v8r0/index.jsp?topic=%2Fcom.ibm.help.domino.admin.doc%2FDOC%2FH_ADMINISTRATION_PROCESS_MESSAGES_OVERVIEW.html
https://www-304.ibm.com/support/docview.wss?uid=swg21221236

[umi]

Hallo
Wenn Du den Notes CA für einen Zertifizierer deaktivieren möchtest, kannst Du dass in names.nsf machen.

1. ca beenden
2. names.nsf unter Configuration\Security\Certificates siehst Du ja alle Zertifizierer
3. den entsprechenden Zertifizierer suchen, und  im Reiter "CA configuration" siehst Du welche ICL DB verwendet wird.
4. das Feld "Process Enabled" auf No stellen und das Attachment entfernen.
Beim Starten des CA sollte jetzt der entsprechende Zertifizierer nicht mehr verfügbar sein und Du kannst diesen erneut migrieren.

[KoshNaranek]

Hallo Urs,

vielen Dank für die Anleitung.

Ich habe alle Zert. nun raus gehauen und bin gerade dabei, alle wieder einzuklinken...
Nun bekomme ich direkt beim ersten die Meldung (nachdem ich Schutz und Administratoren eingestellt und OK geklickt habe)

"Für diesen Zertifizierer existiert eine Administratoranforderung. Möchten Sie fortfahren?"

Ich habe ihm jetzt mal ein tell adminp process all gegeben und lasse das eine Stunde köcheln... Evtl. war ich einfach wieder zu schnell?! Wir wissen ja alle: "Sofort" ist, wenn Domino Zeit dafür hat.  

UPDATE
So... wenn ich recht überlege, ist die Meldung normal, da es ja alte Anforderungen dazu gibt. Also habe ich "ja" gesagt.

Nun kommt das nächste... der adminp geht jetzt hin und zertifiziert die User nicht in der names.nsf sondern in einem Replikat (Verzeichnisse\names_ariger.nsf), dass ich für den Transfer zu unserer Schwester in Paris benutze. Das ist ein Teilreplikat - Nur User und Gruppen, keine Konfig etc.. Erst, wenn der Replikator die Datenbank durch hat kann der User sich anmelden.

Warum passiert das denn? Warum wird denn nicht das "names.nsf" benutzt? OK. Replik ist Replik ... aber mir wäre es schon lieber, es würde direkt in der names.nsf passieren - sonst habe ich bis zu 1 Stunde Versatz drin.
Oder war das jetzt nur ein blöder Zufall?

Nachdem ich den User auf einem Testrechner eingerichtet habe und der Replikator durch ist, habe ich nun ein Konfliktdokument zu dem User im names.nsf - einmal Stand "vor der Einrichtung des Client" und einmal "nachher" 

[KoshNaranek]

ich habe nun alle Zertifizierer wieder migriert - und oh Wunder bekomme ich jetzt wieder den Fehler

in der admin4.nsf steht das:
Title: *Unser*'s Directory Path: names.nsf; Error: The name to act on was not found in the Domino Directory.

in der log.nsf steht dies:
 Admin Process: Received the following error performing a Person im Domino-Verzeichnis erneut zertifizieren request on Hans Dampf (Path: names.nsf): The name to act on was not found in the Domino Directory.

Ich habe jetzt mal ein dbcache flush gemacht und das "redo" angehakt - der Fehler bleibt. Mir gehen echt die Idee aus?!

[KoshNaranek]

ich habe hier noch einen anderen Thread - da geht es um "Alte Daten in LDAP-Abfragen": http://atnotes.de/index.php/topic,53421.0.html

Evtl. ist das hier ein Querschläger?!
Von der Logik her würde ich jetzt mal vermuten, das evtl. die View $Users oder ähnlich beschädigt war und deswegen "the name to act on was not found" kam? Wenn die Daten nicht sauber in allen Views aktualisiert werden (mit LDAP nachbaubar - siehe anderer Thread) kann ich mir vorstellen, dass ich den Eintrag zwar unter "Benutzer" sehe ... aber in $users evtl. etwas fehlt - oder eine andere View?

Kann mir jemand sagen, wo der adminp/admin4/ca etc. User suchen und bearbeiten/zertifizieren? Da fehlt mir leider das Domino-Entwickler-Wissen.

[KoshNaranek]

Sieht gut aus - scheinbar war dieser Fehler tatsächlich ein Querschläger des verstrubbelten names.nsf aus meinem anderen Thread.

Mit den Schritten
"Domino maintenance tasks"
aus
http://www-10.lotus.com/ldd/dominowiki.nsf/dx/Page_2_Deploying_Domino_85x_servers

laufen nun scheinbar auch unsere CA migrierten Zertifizierer wieder sauber. Ich habe jetzt mehrere User testgerechnet: keine Fehler mehr in der admin4.nsf und auch nicht im log. Die Benutzer könnnen Notes nun auch binnen weniger Minuten benutzen.

[KoshNaranek]

Heute hatten wir wieder dieses seltsame Verhalten.

Am WE hat ein Kollege das SAN, in dem der Server liegt, umgestrickt und wohl auch den Mailserver runter gefahren.

Freitag war noch alles gut - da wurden neue User gerechnet. Heute wollte ein Kollege einen User anlegen: Fehler.

Kann es sein, dass der 8.5.2FP3 Server es nicht mag, wenn man ihn einfach über das Betriebssystem runter fährt ohne vorher ein "tell server quit" zu machen? Ich mache das eingentlich immer aus "Reflex" ... aber der SAN-Kollege kennt das nicht... war bisher eigentlich auch nicht nötig. Ist der 85er auf Win2K8R2 etwas empfindlich?

Ich habe jetzt das "Offline-Fixup" von oben noch mal gemacht - der User ließ sich rechnen und auch im admin4.nsf ist kein Fehler mehr aufgetaucht ... aber ich werde den User morgen früh mal testen...