Gültigkeit Internetkennwort nach Änderung

[werfi]

Hallo,

ich habe folgendes Problem:
Ein Benutzer ändert sein Notes Kennwort und durch eine Policy haben wir festgelegt, dass das Internetkennwort mitgeändert wird. Soweit, so gut.
Jetzt kommt es immer wieder vor, dass Benutzer im Sametime (Entry/Limited) oder an Devices (iPhone Blackberry, Android), die über den Traveler synchronisieren, noch tagelang das alte Kennwort nutzen können.
Ich kann mir das nicht erklären.

Die Mailserver, an denen die Benutzer über den Notes-Client auch ihr Kennwort ändern stehen in einer Domäne und sind im Cluster. Der Sametimeserver steht in der gleichen Domäne, Replikation des DD alle 30 Min. (24/7). Der Traveler steht in einer anderen Domäne, gleiches Netzwerk, d.h. keine DMZ o.ä.

Alle Dominoserver haben den gleichen Stand -> 9.0.1 FP3 IF3 (HF514/515), Traveler 9.0.1.0 Build 901411031536

Über das Konfig-Dokument habe ich bereits den Parameter HTTP_PWD_CHANGE_CACHE_HOURS=1 gesetzt, bringt aber auch nichts.

Hat einer von euch vielleicht eine Erklärung/Lösung für das Problem?

Gruß
Markus

[MCPvsTron]

Hallo Markus,

hast du mal in der admin4.nsf nachgesehen ob die Requests auch zeitnah verarbeitet werden. Evtl. ist euer Admin Server ein anderer als die aufgeführten? Zudem wie sieht es in den betreffenden Personendokumenten aus, ist dort die Änderung des Feldes sichtbar auf den betroffenen Server (Sametime etc.)

Viele Grüße

Christian

[werfi]

Hi,

die Anfragen werden schnell, innerhalb von 30 Minuten, abgearbeitet und sie stehen auf dem Sametime Server auch nach Replikation zur Verfügung.
Es sind keine offenen Anforderungen vorhanden.

Gruß
Markus

[Bastel123]

Probier mal im Severdokument folgende Einstellung (hier beim Kunden ist die IDVault im Einsatz):

Tab Security

Abschnitt
Security Settings

Check passwords on Notes IDs: enabled

Gruß
Sebastian

[werfi]

Ist gesetzt, aber die Notes-ID, sprich Anmeldung am Client geht nur mit dem neuen Kennwort. Dies betrifft ausschließlich das Internetkennwort.

[Pfefferminz-T]

Hast Du nach dem Setzen der notes.ini-Variable den Server neu gestartet?

Ansonsten sind die Standardeinstellungen gültig und das bedeutet, dass für 48 Stunden (oder bis zum Neustart des HTTP-Tasks) das alte und das neue Internetkennwort gültig sind.

Gruss,
Thorsten

[werfi]

welchen Server?
- Traveler oder Mailserver? Oder beide...
Den Mailserver habe ich neu gestartet - ohne Erfolg.

Gruß Markus

[Pfefferminz-T]

Natürlich muss der Parameter auf dem Server gesetzt werden, an dem sich die Anwender anmelden und dieser Server muss auch neu gestartet werden. Der Traveler-Server macht ja dann letztendlich den Zugriff auf den Mail-Server mittels NRPC und greift mit seinen eigenen Credentials auf die Maildatenbank zu. Der Anwender greift nur auf den Traveler-Server zu.

Gruss,
Thorsten

[werfi]

Das Problem besteht auch nach Neustart des Servers weiter.
Ich habe gestern den Traveler neu gestartet und heute bekommt der Benutzer mit dem alten Kennwort weiter Daten auf sein Device.

Hat noch jemand eine Idee, woran das liegen könnte?

Danke & Gruß
Markus

[Pfefferminz-T]

Kannst Du testen, ob der Anwender sich auch weiterhin über http auf dem Mailserver anmelden kann? Bei mir ist die Nutzung des alten Passworts nach dem Neustart des HTTP-Servers nicht mehr möglich.

Welche Authentifizierung verwendet ihr im Traveler? LDAP, Domino Verzeichnis auf dem Traveler Server oder Domino Verzeichnis auf dem Mailserver?

Gruss,
Thorsten

[Tode]

Eines hat (glaube ich) noch keiner gefragt: Ist denn das Internet- Kennwort im Personendokument WIRKLICH geändert? Also kann man sich -wie Thorsten gefragt hat- mit dem neuen Kennwort am Mailserver anmelden (http natürlich)? Was steht im Personendokument auf dem Administrations- Tab, wann das Internetkennwort zuletzt geändert wurde?

[werfi]

Das Internetkennwort wurde mit geändert. Das habe ich als erstes kontrolliert...

[Pfefferminz-T]

Das beantwortet leider nicht ganz die Frage... es geht nicht darum, ob das Internetkennwort geändert wurde sondern darum, ob diese Änderung auch auf dem Traveler Server im Domino Verzeichnis zu sehen ist!

Also bitte noch die Informationen nachreichen
- gegen welchen Server eure Authentifizierung läuft (kann gegen das Verzeichnis auf dem Mailserver oder auf dem Traveler-Server laufen)
- ob dieses geänderte Kennwort auch auf dem Traveler Server aktiv ist.

Melde Dich doch mal über https mit dem Web-Browser Deines PCs mit diesen Credentials auf dem Traveler Server an... welches Kennwort musst Du verwenden?

Gruss,
Thorsten

[werfi]

Welche Authentifizierung verwendet ihr im Traveler? LDAP, Domino Verzeichnis auf dem Traveler Server oder Domino Verzeichnis auf dem Mailserver?

Ich steh gerade etwas auf dem Schlauch - wo sehe ich das?
Ich würde aus dem Bau raus sagen, Domino Verzeichnis auf dem Mailserver...

[Pfefferminz-T]

Mit den Standardeinstellungen wird für Authentifizierung und den Adress lookup der Mailserver verwendet. Wenn man NTS_TRAVELER_AS_LOOKUP_SERVER in der notes.ini setzt, dann wird das Verzeichnis des Traveler Servers verwendet:

https://www-01.ibm.com/support/knowledgecenter/SSYRPW_9.0.1/NameLookup.html?lang=en

Wenn ihr den Standard nutzt, dann bitte testen, mit welchem Kennwort Du Dich über HTTP über den Browser am Mailserver anmelden kannst.
Wenn ihr den Parameter nutzt, dann muss im Verzeichnis des Traveler Servers das Kennwort auch ein entsprechendes Änderungsdatum haben und Du musst testen, wie man sich dort über HTTP anmelden kann.

Aber eigentlich egal, wenn Du über einen Web-Browser an einem PC über HTTP auf den Traveler-Server mit den Credentials des Nutzers zugreifst, dann kannst Du testen welche Kennwörter funktionieren.

Gruss,
Thorsten

[Tode]

@Thorsten: Das ist nicht ganz richtig.

Für die Authentifizierung wird immer der Traveler- Server verwendet (woher soll er denn auch von einem noch nicht bekannten Benutzer den Mailserver kennen).

Die Frage ist hier nur: Wie ist der Traveler konfiguriert?

Selbe Domäne -> das names.nsf des Traveler wird verwendet (muss also aktuell repliziert sein)
Andere Domäne -> typischerweise ist das "echte" names per directory- assistance eingebunden. Wenn dabei auf einen der Mailserver verwiesen wird, dann ist das eine "Live"- Abfrage, verweist die DA auf eine lokale Replik auf dem Traveler muss wieder repliziert werden.

Erst NACH der Authentifizierung wird dann der Mailserver des Benutzers für Namelookup verwendet.

[werfi]

Also wir haben folgende Konfig:

Der Traveler steht in einer anderen Domäne als der Mailserver.
Das Domino Verzeichnis des Mailservers ist über die DA eingebunden (keine lokale Replik!).
 - Trusted for Credentials
 - beide Mailserver (Cluster) stehen mit Server- und Dateiname drin.

Ich habe inzwischen einen zweiten Benutzer, bei dem sich das Problem nachstellen lässt.
Die Anmeldung am Browser auf dem Traveler zeigt die gleichen "Symptome" - Anmeldung mit altem und neuen Kennwort möglich.
Den Domino (Traveler) habe ich mit "restart server" neu gestartet und auch danach kann sich der Benutzer weiter mit altem und neuen KW anmelden.

Die Anmeldung am Browser auf dem Mailserver lässt nur das neue Kennwort zu - es sieht also so aus, als ob der Traveler das alte Kennwort sich noch irgendwo gemerkt hat.

Gruß
Markus

[Pfefferminz-T]

@Tode: Stimmt, hast recht... das war nur der NameLookup und nicht die Authentifizierung. Danke!

@Werfi: Dann muss ich nochmal nachschauen, wo das gespeichert werden könnte. Reicht mir aber voraussichtlich erst am Montag...

Gruss,
Thorsten

[Pfefferminz-T]

Hi,

bloss um sicherzugehen...
- der Traveler Server selber hat bis auf den einen Admin keine anderen Personendokumente?
- über Directory Assistance (auf dem Traveler oder über eine mögliche DA am Mailserver) ist kein weiteres Verzeichnis eingebunden, in dem diese beiden Anwender auch nochmal auftauchen?

Gruss,
Thorsten

[werfi]

Hi,

bloss um sicherzugehen...
- der Traveler Server selber hat bis auf den einen Admin keine anderen Personendokumente?
- über Directory Assistance (auf dem Traveler oder über eine mögliche DA am Mailserver) ist kein weiteres Verzeichnis eingebunden, in dem diese beiden Anwender auch nochmal auftauchen?

Gruss,
Thorsten

Hallo Thorsten,

ja, auf dem Traveler ist nur ein Admin angelegt, keine Benutzer.
Im DA sind noch weitere Verzeichnisse angelegt, die aber in der Reihenfolge weiter unten stehen. In einem der Verzeichnisse sind auch unsere Benutzer enthalten. Dies kann ich allerdings nicht ändern...

Gruß
Markus