Domino 9 und frühere Versionen > ND9: Entwicklung

periodischer Server-Agent und verschlüsselte Mails

<< < (3/3)

MALTKU:
Guten Morgen zusammen!

Vielen Dank für Eure Mühen und Eure Tests. Die Ergebnisse decken sich mit meinen Beobachtungen. Zumindest unter Domino 9 scheint es dann so zu sein. Ich nehme es mal auf meine Agenda, die DB inkl. Agent auf meinem 11er Testserver zu packen und zu testen.

Der Beitrag https://atnotes.de/index.php?topic=62584.0;prev_next=next beschreibt gut mein Problem. Leider gab es dort keine (so tollen) Antworten wie hier.

Zu einem von Carstens Punkten habe ich dann doch noch eine Nachfrage / Anmerkung:
- Es ist egal, ob "Name" ein Servername ist solange er im DD steht und NICHT identisch mit dem ausführenden Server ist (aber nicht empfehlenswert da DEAD-Mails entstehen können und werden).
(ich habe das mit dem korrekten Zitieren nicht hinbekommen?!)

Frage: Was macht den Unterschied, ob der Agent auf Server A läuft und mit Server B signiert wurde (oder RunOnBehalfOf=Server B)
Anmerkung: Zum Umgehen von DEAD-Mail bei Mails, die als Absender einen der Server haben, habe ich seinerzeit für alle Server je ein Mail-In-Dokument angelegt, sodass diese Mails nicht tot laufen, sondern in einer zentralen Server-Mail-In-Datenbank auflaufen. Das funktioniert soweit prima und hat mir bis jetzt nur im Zusammenhang mit YTRIA kurz Probleme gemacht. Theoretisch könnte das aber auch eine Ursache des Problems sein - praktisch hattet ihr das Problem aber auch, ohne das für den Server ein Mail-In-Eintrag exisitiert.

Liebe Grüße und nochmal vielen Dank
Thomas

CarstenH:

--- Zitat von: MALTKU am 29.07.21 - 07:58:00 ---Frage: Was macht den Unterschied, ob der Agent auf Server A läuft und mit Server B signiert wurde (oder RunOnBehalfOf=Server B)

--- Ende Zitat ---

Wissen wir auch (noch) nicht. Fakt ist aber, dass es nach bisherigen Erkenntnissen unter N/D 9.x zu dem beschriebenen Verhalten kommt.


--- Zitat von: MALTKU am 29.07.21 - 07:58:00 ---Anmerkung: Zum Umgehen von DEAD-Mail bei Mails, die als Absender einen der Server haben, habe ich seinerzeit für alle Server je ein Mail-In-Dokument angelegt, sodass diese Mails nicht tot laufen, sondern in einer zentralen Server-Mail-In-Datenbank auflaufen. Das funktioniert soweit prima und hat mir bis jetzt nur im Zusammenhang mit YTRIA kurz Probleme gemacht.

--- Ende Zitat ---

Auch wenn es (erstaunlicherweise) technisch funktioniert ist diese Konstellation eigentlich nicht zulässig da jeder Notesname im DD eindeutig sein muss. D.h., der gleiche Name darf nicht doppelt eingetragen sein - unabhängig davon, ob das jetzt Personen, Gruppen, Server oder ein Mix davon ist. Insbesondere bei Servern und Administratoren(-gruppen) sollte man da sehr sensibel sein um sich keine Hintertüren aufzureißen oder ungewollt Server oder Admins auszusperren. Spätestens wenn man sich auf die Art auch bei FullAccess bei aktiver DB Verschlüsselung/konsistenter ACL ausgesperrt hat kann keiner mehr helfen.

Vorschlag: wenn du sowieso schon ein Mail-In-Dokument dafür angelegt hast - was hindert dich daran, den derzeitigen Namen des Mail-In leicht abzuändern (z.B. indem du -Service an den Common Name Teil anhängst) und diesen so bei den betreffenden Agenten als Run-on-behalf einzutragen? Dann wären das Verschlüsselungsproblem UND das Namen-Dopplungs-Problem gelöst.

HTH
Carsten

MALTKU:

--- Zitat von: CarstenH am 29.07.21 - 08:40:25 ---
--- Zitat von: MALTKU am 29.07.21 - 07:58:00 ---Frage: Was macht den Unterschied, ob der Agent auf Server A läuft und mit Server B signiert wurde (oder RunOnBehalfOf=Server B)

--- Ende Zitat ---

Wissen wir auch (noch) nicht. Fakt ist aber, dass es nach bisherigen Erkenntnissen unter N/D 9.x zu dem beschriebenen Verhalten kommt.

--- Ende Zitat ---

Hmm. Komme immer noch nicht ganz mit.
Bei mir ist beides gleich. Server A hat den Agenten signiert (RunOnBehalfOf ist nicht gesetzt). Server A führt den Agenten aus. Die Mail kommt unverschlüsselt an. Ist nach deiner Beschreibung und den Tests der anderen dem Anschein nach zumindest unter Notes 9 so.
Was ist anders, wenn Server A den Agenten signiert hat und Server B den Agenten ausführt. Die Mail ist dann doch auch unverschlüsselt. Oder habe ich was überlesen / übersehen?


--- Zitat von: CarstenH am 29.07.21 - 08:40:25 ---
--- Zitat von: MALTKU am 29.07.21 - 07:58:00 ---Anmerkung: Zum Umgehen von DEAD-Mail bei Mails, die als Absender einen der Server haben, habe ich seinerzeit für alle Server je ein Mail-In-Dokument angelegt, sodass diese Mails nicht tot laufen, sondern in einer zentralen Server-Mail-In-Datenbank auflaufen. Das funktioniert soweit prima und hat mir bis jetzt nur im Zusammenhang mit YTRIA kurz Probleme gemacht.

--- Ende Zitat ---

Auch wenn es (erstaunlicherweise) technisch funktioniert ist diese Konstellation eigentlich nicht zulässig da jeder Notesname im DD eindeutig sein muss. D.h., der gleiche Name darf nicht doppelt eingetragen sein - unabhängig davon, ob das jetzt Personen, Gruppen, Server oder ein Mix davon ist. Insbesondere bei Servern und Administratoren(-gruppen) sollte man da sehr sensibel sein um sich keine Hintertüren aufzureißen oder ungewollt Server oder Admins auszusperren. Spätestens wenn man sich auf die Art auch bei FullAccess bei aktiver DB Verschlüsselung/konsistenter ACL ausgesperrt hat kann keiner mehr helfen.

Vorschlag: wenn du sowieso schon ein Mail-In-Dokument dafür angelegt hast - was hindert dich daran, den derzeitigen Namen des Mail-In leicht abzuändern (z.B. indem du -Service an den Common Name Teil anhängst) und diesen so bei den betreffenden Agenten als Run-on-behalf einzutragen? Dann wären das Verschlüsselungsproblem UND das Namen-Dopplungs-Problem gelöst.

HTH
Carsten

--- Ende Zitat ---

Bzgl. des eindeutigen Notesnamen hast Du recht. Ich habe das in meinem wilden Sturm- und Drangzeiten mal als quick&dirty-Lösung hinterlegt und danach - um Jahre weiser - nicht wieder hinterfragt. Das Hinterfragen mache ich dann jetzt mal. Genau wie ich deinen Vorschlag bedenken. Machst Du das bereits so? Ist das also quasi eine erprobte BestPractice?

Gruß
Thomas

CarstenH:

--- Zitat von: MALTKU am 29.07.21 - 13:57:16 ---Was ist anders, wenn Server A den Agenten signiert hat und Server B den Agenten ausführt. Die Mail ist dann doch auch unverschlüsselt.

--- Ende Zitat ---

Nein. In diesem Fall wird die Mail erfolgreich verschlüsselt. Ausführender Server ist nicht gleich dem Namen, in dessen Kontext es läuft. Also Variante (c).


--- Zitat von: MALTKU am 29.07.21 - 13:57:16 ---Bzgl. des eindeutigen Notesnamen hast Du recht. Ich habe das in meinem wilden Sturm- und Drangzeiten mal als quick&dirty-Lösung hinterlegt und danach - um Jahre weiser - nicht wieder hinterfragt. Das Hinterfragen mache ich dann jetzt mal. Genau wie ich deinen Vorschlag bedenken. Machst Du das bereits so? Ist das also quasi eine erprobte BestPractice?

--- Ende Zitat ---

Ja. In den meisten Fällen lege ich beim Kunden einfach eine (oder mehrere, je nach Zweck) Mail-In-DB mit einer Adresse z.B. Info-Service/Company und der Internetadresse do-not-reply @ company.xyz an. Da das keine User-ID ist hat das mit dem Signieren auch nichts zu tun, dieser Name wird einfach in allen relevaten DB's als Leser/Autor/Editor (je nach Zweck) in die ACL aufgenommen und in den Newsletter- und Benachrichtigungsagenten als "Ausführen im Namen von" hinterlegt. Schon gehen die Mails mit dieser Adresse raus und wenn jemand antwortet löscht man entweder alle Mails an do-not-reply ungesehen oder hat sie zumindest an einer zentralen Stelle.

Kostet keine Lizenz und verstößt nicht gegen Namenskonventionen oder andere Dinge. Und man gibt auch bei Mails, die gewollt oder ungewollt nach draußen wandern nicht gleich im Absender seine Unternehmensstruktur und das verwendete Mailsystem preis.

HTH
Carsten

Navigation

[0] Themen-Index

[*] Vorherige Sete