Das Notes Forum
Lotus Notes / Domino Sonstiges => Java und .NET mit Notes/Domino => Thema gestartet von: Boost am 26.06.06 - 14:36:57
-
Hallo,
Ich möchte in meine Notes Applikation Logging einbauen, ohne die Notes Logging API zu benutzten.
Ich habe folgenden Code in einer Java Script Library stehen :
Logger logger = Logger.getLogger("Console");
MemoryHandler handler = new MemoryHandler(new ConsoleHandler(),1000,Level.CONFIG);
logger.addHandler(handler);
Leider bekomme ich folgende Exception:
java.security.AccessControlException: access denied (java.util.logging.LoggingPermission control)
at java.security.AccessControlContext.checkPermission(AccessControlContext.java:292)
at java.security.AccessController.checkPermission(AccessController.java:476)
at java.lang.SecurityManager.checkPermission(SecurityManager.java:538)
at COM.ibm.JEmpower.applet.AppletSecurity.superDotCheckPermission(AppletSecurity.java:1397)
at COM.ibm.JEmpower.applet.AppletSecurity.checkPermission(AppletSecurity.java:1479)
at COM.ibm.JEmpower.applet.AppletSecurity.checkPermission(AppletSecurity.java:1412)
at java.util.logging.LogManager.checkAccess(LogManager.java:848)
at java.util.logging.Logger.addHandler(Logger.java:1142)
at com.ibm.vse.lotus.console.ConsoleMessageThread.runNotes(ConsoleMessageThread.java:81)
at lotus.domino.NotesThread.run(Unknown Source)
Kann mir jemand sagen wie ich den/die Handler (oder vielleicht Notes) konfigurieren muss damit das Logging klappt?
Hat jemand schon mal so etwas gemacht?
-
Ich denke du musst den Logging-Klassen Zugriff auf deine Anwendung geben. Ich kenne mich damit nicht aus in Notes, aber in diesem Artikel könnte eine Hilfe stehen: http://lekkimworld.com/lekkimworld/2006/04/25/1145963331004.html
-
Ein Beispiel aus der Tomcat - Policy fürs Commons-Logging Framework. Vielleicht hilft dir das:
// These permissions apply to the commons-logging API
grant codeBase "file:${catalina.home}/bin/commons-logging-api.jar" {
permission java.security.AllPermission;
};
Dieser Eintrag gewährt dem Commons Logging API alle Zugriffsrechte.
-
In meiner java.policy Datei für die Notes JVM steht u.a. folgendes:
// Standard extensions get all permissions by default
grant codeBase "file:${java.home}/lib/ext/*" {
permission java.security.AllPermission;
};
// Notes java code gets all permissions
grant codeBase "file:${notes.binary}/*" {
permission java.security.AllPermission;
};
Bedeutet das nicht, dass die JVM und mein Code alle Permissions haben? ???
-
Kennst Du das OpenLog? http://www.openntf.org/projects/pmt.nsf/ProjectLookup/OpenLog
Logging Tool welches sowohl LS als auch Java kann.
-
... ist nur die Frage, ob du tatsächlich die richtige policy Datei editierst.
Falls der code in einem Nortes Java Agenten ist (was ich vermute):
Im 2. Tab des Notes Java Agenten im sogenannten "Notes-Designer" gibt es eine Selectbox für Agentensicherheit (zumindest ab Version 6).
Oft ist es das.
-
@ umi
Unter welcher Lizenz steht dieses Tool?
Ich hab auf der Seite keinen Hinweis gesehen.
@ Axel
Ich habe den Code in einen Agenten gepackt zum testen, eigentlich steht er in einer Java Script Library.
Eine Änderung am Runtime security level (egal ob 1,2 oder 3) bringt keine Änderung, sonder immer die gleiche Exception.
Aber:
Mit Looger.getAnonymousLogger() gehts!
Könnte mir jemand sagen warum? :-:
-
Author ist Robichaux. www.nsftools.com.
Keine Ahnung wie die Lizenz aussieht. Höchstwahrscheinlich frei.
-
@Boost: Ist das schlimm?
Ich benutz eigentlich immer Log4j (nicht mit Notes), aber wenn ich die Api-Doc richtig lese, hat das was mit Applet Security zu tun, die ja aus mir übrigens völlig unklaren Gründen in Notes Agenten verwendet wird. Kann sein, das Lotus diesen Anwendungsfall einfach übersehen hat.
Gibt es ein Problem mit dem anonymous logger?
This factory method is primarily intended for use from applets. Because the resulting Logger is anonymous it can be kept private by the creating class. This removes the need for normal security checks, which in turn allows untrusted applet code to update the control state of the Logger. For example an applet can do a setLevel or an addHandler on an anonymous Logger.
@Umi: die Sun Logging Klassen wurden von Sun Engineers erstellt und auf diesem Planeten millionenfach getestet. Das von dir genannte Projekt von Julian Robinchaux (und es wurde vielleicht 1000 mal installiert). Ich würde in Projekten auch deutlich die solidere Lösung präferieren (d.h. die von Sun).
Gruß Axel
-
Ich habe den anonymous Logger noch nicht wieter getestet, da ich erst heute die Spezifikationen des Loggings festgeklopft habe. Um ausgiebieger zu testen müssen erst noch einen Handler für Notes und einen Formatter für ein vorgegebenes Format her.
Bei ersten Tests, die nur Ausgabe auf die Konsole geschrieben haben, hat soweit alles funktioniert.
Ich werde in den nächsten Tagen posten wie es läuft.
Wenn keine weiteren Probleme ausser dem nicht anonymen Logging auftreten, werde ich die Sun API verwenden. Wenn das Programm zum Kunden geht, kann ich nicht einfach fremden Code einbauen, ohne die Lizenz zu kennen, und die ist auf der Seite nicht eindeutig, zumindest für mich nicht.
Gibt es eine Möglichkeit, die Sicherheitseinstellungen zur Laufzeit anzupassen, so dass ein Logger mit Namespace als vertraueswürdig eingestuft wird und läuft?
-
Gibt es eine Möglichkeit, die Sicherheitseinstellungen zur Laufzeit anzupassen, so dass ein Logger mit Namespace als vertraueswürdig eingestuft wird und läuft?
Theoretisch Policy Dateien.
http://www.galileocomputing.de/openbook/javainsel3/javainsel_240001.htm#Rxxjavainsel_240001460RechtevergebendurchPolicyDateien
Vielleicht hast du ja einen Fehler bei der Konfiguration der policy Datei gemacht (was sehr leicht passieren kann).
-
Was du natürlich auch machen kannst:
Eine münchener Consulting (beck et al) hat eine ziemlich gründliche Api rund um Notes herausgebracht. Die Sachen, die ich mir mal angeschaut habe, sehen sehr gut aus.
Die haben auch spezielles Zeugs für Logging.
Wenn du Zeit und/oder Lust hast, schaus dir an.
http://domingo.sourceforge.net/ (Jdk14LoggerMonitor).
-
Danke für die vielen Hinweise. Ich werde sie mir die API anschauen.
-
Kurzes Update:
Das Problem scheint die Zeile mit logger.addHandler(handler) zu sein.
Weis jemand, wie man die Handler benutzen kann, bzw. muss ?
-
Hallo,
Ursache ist definitiv die Java Security.
Hierfür musst du in einer Domino Standard-Installation (Windows) die Datei
c:\lotus\domino\jvm\lib\security\java.policy (für einen Domino Server)
bzw.
c:\lotus\notes\jvm\lib\security\java.policy (für einen Notes Client)
bearbeiten.
Offenbar benötigen die Klassen
java.util.logging.LogManager
und java.util.logging.Logger.addHandler
besondere Rechte (in der Java Security), die du dort über einen Grant Befehl zuweisen kannst.
Testhalber versuchen:
grant {
permission java.security.AllPermission;
};
Das erlaubt allen alles. SEHR UNSICHER. Nur für einen Test verwenden.
Alternativ die JAR-Datei des Logging-Frameworks in den Pfad c:\lotus\domino\jvm\lib\ext legen. Code aus JAR-Dateien in diesem Verzeichnis erhalten per Default alle Rechte.
Ansonsten darf ich (in aller Bescheidenheit) die Adresse http://www.domino-java.com empfehlen. Dort gibt es einen Domino-tauglichen Wrapper für log4j, der dazu noch selbst-konfigurierend ist (bei log4j eine grosse Hilfe).
Gruß
Thomas
-
Hallo Thomas,
normalerweise wird LogJ benutzt, um in eine Datei zu loggen, und genau hier liegt die Ursache für die AccessControlException: Schreiben in Dateien ist in der Standardeinstellung für Java-Agenten nicht erlaubt. Es gibt drei Wege, dies zu ändern:
1. java.policy file
2. Server-Dokument
3. Agent-Settings
Weg 1 ist nicht empfehlenswert, da diese Einstellungen dann für den gesamten Server und alle Benutzer gelten und so bei unvorsichtigem Vorgehen die Sicherheitsmechanismen von Java unterwandert werden und somit der Server potentiell verwundbar wird.
Weg 2 erlaubt, bestimmten Usern, z.B. dem Agent-Signer, mehr Rechte zu gewähren. Dies ist ein typisches Vorgehen, um Agenten die nötigen Rechte zuzuteilen. Siehe Server-Dokument -> Security -> Programmability Restrictions -> Run unrestricted methods and operations: Benutzer oder Gruppe angeben, die unbeschränkten Zugriff auf das OS erhalten soll.
Weg 3 ist noch spezieller und ermöglicht eben nur bestimmten Agenten, Sonderrechte zu erteilen. Siehe Agent-Settings -> zweites Tab (Security) -> Set runtim security level -> Allow restricted operations.
Soweit ich mich erinnere zieht diese Einstellung nur in Kombination mit Möglichkeit 2, am besten mal ausprobieren.
Im Rahmen einer SAP-Integration über WebServices habe Ich Log4J mit diesen Einstellungen bereits erfolgreich und produktiv in Lotus Domino eingesetzt, ohne Manipulation der java.policy. Falls Du noch Fragen dazu hast, stelle sie einfach hier in diesem Thread.
Falls Du über einen eigenen Appender in eine Notes-Datenbank loggen möchtest, dann ist das alles nicht nötig, denn Zugriff auf Notes-Datenbanken hat jeder Agent in jedem Fall (solange er über die ACL der Datenbank berechtigt ist).
Ich hoffe, das hilft Dir weiter.
Gruß
Kurt
-
Danke für die Hinweise.
.policy fällt flach, denn wenn die DB an den Kunden geht, müsste ihm das jemand erklären und der Kunde müsste es verstehen.
2. Server-Dokument
Weg 2 erlaubt, bestimmten Usern, z.B. dem Agent-Signer, mehr Rechte zu gewähren. Dies ist ein typisches Vorgehen, um Agenten die nötigen Rechte zuzuteilen. Siehe Server-Dokument -> Security -> Programmability Restrictions -> Run unrestricted methods and operations: Benutzer oder Gruppe angeben, die unbeschränkten Zugriff auf das OS erhalten soll.
Das funktioniert serverseitig, richtig?
Wenn ja, die gleiche Einschränkung wie oben, zusätzlicher Administrationsaufwand ist nicht zumutbar.
3. Agent-Settings
Weg 3 ist noch spezieller und ermöglicht eben nur bestimmten Agenten, Sonderrechte zu erteilen. Siehe Agent-Settings -> zweites Tab (Security) -> Set runtim security level -> Allow restricted operations.
Soweit ich mich erinnere zieht diese Einstellung nur in Kombination mit Möglichkeit 2, am besten mal ausprobieren.
Funktioniert das auch mit Java Script Libraries?
Ich habe keine Einstllungen gesehen.
Ich brauche Threads die mit einer GUI aufgerufen werden, und nicht von Agenten.
Falls Du über einen eigenen Appender in eine Notes-Datenbank loggen möchtest, dann ist das alles nicht nötig, denn Zugriff auf Notes-Datenbanken hat jeder Agent in jedem Fall (solange er über die ACL der Datenbank berechtigt ist).
Könntest du genauer erklären, was du mit Appender meinst?
-
Könntest du genauer erklären, was du mit Appender meinst?
In log4j speak, an output destination is called an appender.
Du kannst einen eigenen Appender schreiben. Oder vielleicht gibts schon einen fertigprogrammierten Appender, der in Notes-Datenbanken schreibt.
Domino Java hat doch einen Tipp genannt. Hilft das nicht weiter?
Ansonsten darf ich (in aller Bescheidenheit) die Adresse http://www.domino-java.com empfehlen. Dort gibt es einen Domino-tauglichen Wrapper für log4j, der dazu noch selbst-konfigurierend ist (bei log4j eine grosse Hilfe).
-
Erst mal danke für dien Hinweis auf den Wrapper.
Aber Log4j ist teil des Apache Projekts, d.h. ein eigenes Paket, der Wrapper ebenso.
Das kann ich aber leider nicht bundeln und mitschicken, sodern ich dürfte nur einen Link geben mit dem Hinweis "Bitte dort runterladen".
Dann müsste das Paket noch in die Notes JVM kommen.
Deshalb werde ich Log4j und den Wrapper nicht verwenden.
-
Aber Log4j ist teil des Apache Projekts, d.h. ein eigenes Paket, der Wrapper ebenso.
Das kann ich aber leider nicht bundeln und mitschicken, sodern ich dürfte nur einen Link geben mit dem Hinweis "Bitte dort runterladen".
Dann müsste das Paket noch in die Notes JVM kommen.
Wie jetzt runterladen? Man muß einfach den Admins die entsprechenden jars aushändigen und dann können sie diese ins <Notes-Programm>\jvm\lib\ext Verzeichnis der Domino JVM tun. Man kann dafür sogar eine eigene Routine für schreiben, falls dies vowe.net lesende Systemadministratoren überfordern sollte ;D
So etwas vorzuschlagen, war nie ein Problem.
Vielleicht liegt das daran, dass ichseit Jahren aus-weiss-nicht-warum Gründen nur noch Kunden aus dem sehr ITisierten Banken- und Versicherungsumfeld habe. Bei den anderen kommt das dann später auch.
-
Falls es hier wirklich um Log4J geht....
Es gibt ein Log4Domino Project
http://panama.bekk.no/boss/log4domino/
Hier hast du Erweiterungen für Log4J, die dir ermöglichen:
Die Konfiguration in einer Datenbank zu speichern (DominoConfigurator)
Die Logs nicht in eine Datei sondern in eine Datenbank zu schreiben (DominoAppender)
Wie gut die Lösung ist, weiß ich leider nicht, da ich mir so etwas ähnliches vor einiger Zeit selbst geschrieben habe.
Gruss
Chris
-
Danke.
Was heisst so was ähnliches gerade selber geschrieben?
Ist das:
a) eine eigene Logging Lösung?
b) eigene Log4J - Appender für Log4J?
Einen Log4j Appender spezifisch für Domino ist für meine Zwecke sehr cool.
Der Vorteil ist, dass ich in Code den Code für das Logging nicht angrapschen muß, nur weil der Code zufällig in Domino oder auf einer sonstigen Plattform läuft (low coupling, Modularität).
Werds mir auf jeden Fall anschauen und berichten.
-
Ich benutzte die Logging API, die in Java integriert ist.
Ich verwende nur noch den anonymisierten Logger und habe selbst geschriebene Formatter und eine Handler, der Lotus Notes Dokumente schreibt.
Mein Code läuft nur unter Lotus Notes, aber dank der API könnte man die Erweiterungen auch in anderen Projekten verwenden.
Wie gesagt, andere als die Core Java Klasen darf ich nicht mitliefern und müsste mich dann darauf verlassen, dass der Anwender oder der Admin die Erweiterung selber runterlädt und installiert, damit es funktioniert.
-
b. Selbst geschrieben habe ich Erweiterungen für Log4J:
Einen Konfigurator, der Log4j aufgrund von Konfigurationsdokumente in der Datenbank konfiguriert, anstatt mit den üblichen "Propertie-Files".
Einen Domino Appender der die Logs in ein oder mehrere Dokumente schreibt.
---
Ich weiß leider nicht ob man für die "normale" Logging API auch Appender und Configurator schreiben kann, gehe aber mal stark davon aus...
---
Verstehen tue ich natürlich nicht, dass du keine Erweiterungen verwenden darfst, insbesondere wenn diese wie Log4J unter der Apache License veröffentlicht sind. Die darf man theoretisch sogar für Geld weiterverkaufen :)
Verstehen tue ich natürlich, dass man nicht unbedarft einfach jede Open-Source Software aus dem Internet verwenden kann/will/sollte. (ala Intergaration von Apache License -> OK, Intergration von GPL Anwendungen -> nicht OK)
Gruss
Chris
-
b. Selbst geschrieben habe ich Erweiterungen für Log4J:
Einen Konfigurator, der Log4j aufgrund von Konfigurationsdokumente in der Datenbank konfiguriert, anstatt mit den üblichen "Propertie-Files".
Konfiguration ist auch in der Java API möglich, aber von mir nicht integriert.
Die Daten müssten dann als Properties strukturiert sein.
Einen Domino Appender der die Logs in ein oder mehrere Dokumente schreibt.
Das scheint dem Handler in der Java API zu entsprechen.
---
Ich weiß leider nicht ob man für die "normale" Logging API auch Appender und Configurator schreiben kann, gehe aber mal stark davon aus...
---
Verstehen tue ich natürlich nicht, dass du keine Erweiterungen verwenden darfst, insbesondere wenn diese wie Log4J unter der Apache License veröffentlicht sind. Die darf man theoretisch sogar für Geld weiterverkaufen :)
Ja, man kann und geht so ähnlich vor.
Dürfen schon, allerdings nur unter den gegebenen Bedingungen, Fremdcode wird nicht mitgeliefert, sondern muss selbst heruntergeladen und in die Notes Datenbank integriert werden.
Das möchte ich halt vermeiden.
BTW, Das Projekt endet (für mich) in zwei Wochen, Danke für die Tips!
Gruss
Fabian
-
Was ich heute morgen eigentlich für einen Link posten wollte, war folgender:
http://dev.kanngard.net/Permalinks/ID_20030209105617.html
Das ist eine andere Log4j Lösung, allerdings auch nicht perfekt und hat mit damals zur Erstellung eigender Appender motiviert.
Meine Lösung ist aber auch nicht gerade toll... (zumindest aus meiner Sicht). Vielleicht finde ich mal "muse" die so weit zu treiben, dass man es auch veröffentlichen kann --> Am besten alles ist irgendwie dann an OpenLog (von OpenNTF) gekoppelt....
Gruss
Chris
-
Ich glaub man kann heute solche Sachen ganz gut in google code einstellen.
1. Es läuft mit Subversion, d.h. es gibt solide plug-ins für eclipse dafür.
2. Der ganze Prozess der Anmeldung soll laut javaposse sehr einfach sein.
http://code.google.com/hosting/
werd informieren sobald ich das aufgesetzt habe (hab zur Zeit kein Internet zu Hause wegen Umzug).
Gruß Axel
-
Hallo Axel!
Ich favorisiere auch Subversion und wußte gar nicht dass Google das als Source-Verwaltung anbietet, dafür erstmal vielen dank!!
Ich bin erstmal davon ausgegangen, dass nur http://www.tigris.org auch Subversion als Source-Verwaltung anbietet (wo ja auch subversion selbst herkommt..). Gibt es irgendeinen Grund sich für das eine oder das andere zu entscheiden...? ausser das man manchmal das Gefühl bekommt, dass Google das Internet übernehmen will? *G*
Gruss
Chris
-
Chris,
es geht einfach darum nur einen unbürokratischen und freigiebigen Hoster für eigenen Code zu finden. Ich hab selber ein (z.Zt. wg. Umzug und neuem Job stillgelegtes) Projekt auf SourceForge. Ich war eigentlich überrascht, dass es doch recht einfach ist. Bei google ist es aber angeblich noch einmal deutlich einfacher. Zumindest sagte das Dick Wall in irgendeiner JavaPosse-Podcast des Julis.
Ich hab zur Zeit noch nicht einmal einen Internet-Anschluß für meine Wohnung (Arcor und meine Langsamkeit). Sobald ich den habe (in ca. 4 Wochen) werde ich ein Projekt aufsetzen Java_for_domino. Wenn jemand anders schneller ist, würd ich da um commit-Rechte bitten.
Gruß Axel
[rant]
Die Behauptung "Google will das Internet übernehmen" halte ich mit Verlaub für ziemlichen Schwachsinn. Google ist erfolgreich und jetzt schweben die Sommerguts und andere Belatscherer-Zombies aus ihren Gräbern und bringen ihre "kritischen Bemerkungen".
Deutsche Debattenkultur as it worsts. Ja aber...
[/rant]
-
Hallo Axel!
Ich habe auch ein Projekt angelegt unter tigris.org, vorallem weil ich nicht wußte das Subversion mir auch von Google ähnliches geboten wird.
So ernst war das mit der Anspielung auf Google natürlich nicht :) Das Intenet ist zu Frei um Übernommen zu werden, aber Google beginnt fast alles abzudecken, was irgendwo zwischen Erstaunlich und Erschrenkend ist (vor allem vermutlich für Microsoft *G*)
Was ich in mein Projekt reinstellen will, weiß ich noch nicht so recht, eine Ansammlung von Tool-Klassen ggf. auch meine momentan noch sehr verbesserungebedürftigen DominoAppend. :-:
Ich würde mich freuen, über dein Projekt was zu hören, sobald es anläuft, ggf. kann ich auch etwas tun, falls sich Interessen überscheiden. (Ein Wechsel zu Google ist ja nicht ausgeschlossen...)
Gruss
Chris
-
Ich wollte ernsthaft mal sehen, ob man sinnvoll ein Projekt bei google ablegen kann...
Aber nein :) Da braucht man einen Gmail account und den bekommt man nur, wenn man sich einen Freischalt-Code aufs handy senden lässt, aber diese Funktion für Deutschland noch nicht zur Verfügung steht...
Schade eigentlich... Gibt es einen anderen Weg einen Account in Deutschland zu bekommen?
Gruss
Chris
-
Schick eine email an:
Axel.Janssen AT gmail dot com
Ich schick dir dann eine Account-Einladung.
Google Accounts wurden über Einladungen verteilt. Davon gibt es bestimmt mehrere Millionen. Ich hab 100 Einladungen.
Gruß Axel