Das Notes Forum
Domino 9 und frühere Versionen => ND8: Administration & Userprobleme => Thema gestartet von: iukhdh am 14.11.11 - 14:18:04
-
Hallo liebes Forum,
wir haben bei uns folgendes Problem, das regelmäßig zu Ärger und Problemem führt, die regelmäßige Passwortänderung :-\
Wir haben bei uns Windows XP im Einsatz, sowie ca. 350 Notes 8.5 Basic Clients. Wir haben die Windows Anmeldung so gesteuert, dass nach 180 Tagen ein neues Passwort verlangt wird, und dann gehen die Probleme los. Normalerweise soll das Windows Passwort genau gleich wie das Notes Passwort lauten, damit nach der Anmeldung am PC Notes ohne weitere Passwortabfrage startet. (Single Logon)
Dummerweise kommt aber immer vom Windows die Meldung dass das Passwort abgelaufen ist, wodurch viele User dann gleich dort das Passwort ändern, und dann total durcheinander kommen, weil Notes dann plötzlich ein Passwort verlangt, nämlich das alte. Es erfolgt keine Übergabe von Windows an Notes.
Wir haben schon mehrmals Publik gemacht, wie die Kollegen das Passwort über die Benutzersicherheit im Notes ändern sollen, und dabei das Windows Passwort mit ändern können, aber das ist den meisten einfach zu kompliziert, und in 180 Tagen ist es wieder vergessen.
Daher meine Frage: Braucht man die Anmeldung im Notes eigentlich unbedingt? Aus unserer Sicht würde die normale Anmeldung vom Windows eigentlich ausreichend sein. Hat da jemand Erfahrung mit, ähnliche Probleme wie wir, oder einen Lösungsansatz, wie wir bei diesem leidigen Problem Ruhe reinbekommen?
Ich warte nur auf den Tag, an dem unser oberster Chef sein Passwort ändern muss, und ich ihm erklären darf wie das geht ... ::)
Vielen Dank für eure Tipps
Thomas
-
Verwendet ihr noch das alte SSO? Mit Shared Login sollte das m.E. doch kein Problem sein oder?
VG, Michael
-
Habt Ihr das ID Vault im Einsatz ?
Wir machen das über einen Token. Dort wird auch das geänderte Pass gesynct, allerdings kommt es manchmal auch zu Unstimmigkeiten im Bezug auf iNotes /BB mit verschlüsselten eMails und dem Pass.
-
@Michael
Über das Shared Login werden wir uns mal informieren
@MeisterLampe
ID Vault ist bei uns im Einsatz. Meinst du bei der Vorgehensweise mit dem Token die oben genannte Variante mit dem Shared Login?
-
ID Vault , Shared Login und ihr habt (fast) keine Probleme mehr.
-
OK, so wies aussieht haben wir nun zumindest mal einen Ansatz wie wir das Problem angehen können.
Aber ich möcht letztlich nochmal auf meine Eingangsfrage im Titel kommen:
Kann man die Notes Passwort-Anmeldung nicht einfach ausschalten? Oder wird die definitiv benötigt?
Die Angelegenheit hat hier auch hausintern eine Diskussion angeregt über den Sinn und Unsinn von Passwörtern bei Computerprogrammen. Im übelsten Fall müssen bei uns Anwender bis zu 5 Passwörter verwenden, da viele Fachanwendungen ihr eigenes Passwort verlangen. Was aus unserer Sicht einfach keinen Sinn macht, da die Anwender sich ja schon mit dem Windows Passwort schützen.
-
Kann man die Notes Passwort-Anmeldung nicht einfach ausschalten? Oder wird die definitiv benötigt?
Nein, Du kannst sie nur mit besagten Dingen unterdrücken (Single-Logon, wenn Passwort gleich ist oder Shared Login).
-
1) Das ist kein Passwort "für Notes". Das Passwort schützt den Private Key, der in der Notes ID gespeichert ist. Genauso, wie die PIN, ... in der Bürgerkarte den darin enthaltenen Private Key "schützt".
2) IDs ohne Passwort sind ein Sicherheitsrisko, wenn sie nicht wie beim Shared Login anders abgesichert werden. Da braucht nur ein böser Junge das ID-File abgreifen und das wars. Damit gewinnst Du keinen Securityaudit.
3) Bei den "Fachanwendungen" werden Passwoerter akzeptiert, bei anderen Anwendungen mit heiklen Daten nicht? Interessant.
4) Wenn ihr nur noch ID-Files ohne Passwort verwendet, ändert ihr auch alle ACLs auf Vollzugriff für Anonymous? Weil darauf läuft es dann im Endeffekt hinaus.
Wie gesagt, die Lösung für die Anforderung "die User sollen beim Notes-Start kein ID-Passwort mehr eingeben" ist entweder, Single Login (oldschool), Shared Login (das Neue, am besten mit ID Vault) oder eine SSO (Single Sign On) Lösung eines Drittanbieters (Tivoli, ...).
Sorry, falls der Post harsch klingt, ich meins nicht so. ;)
-
Hallo,
sehe das auch so wie Martin. Neben den beschriebenen Notes-Mitteln würde vielleicht auch die Umstellung der Fachanwendungen auf ein Nutzer-/Gruppenverzeichnissen Sinn machen. Dann sind es auch weniger Passwörter, wobei ich 180 Tage für den Passwortwechsel für sehr moderat halte. Ich habe Kunden mit einer monatlichen Wechselvorgabe und mehr Systemen...
Grüsse,
Thorsten
-
Hallo Zusammen,
ich hoffe ihr habt nichts dagegen wenn ich mich auch mit dran hänge.
Die selbe Thematik, wie von Thomas angesprochen, beschäftigt mich momentan auch.
Ich habe zu dem Thema "Gemeinsame Notes-Client-Anmeldung" alles durchgelesen was die Admin Hilfe so hergibt. Trotzdem sind einige offene Fragen geblieben. Leider bin ich nicht sicher wie die Begriffe auf englisch lauten und kann eure bisherigen Aussagen nicht ganz auf den Wortlaut der Admin-Hilfe übertragen.
Dort wird empfohlen die neuere Funktion "Gemeinsame Notes-Anmeldung" zu benutzen (-> Shared Login?), anstelle der alten Funktion "Gemeinsame-Client-Anmeldung" (-> Single Login, Single Sign On?).
Wenn die gemeinsame Anmeldung aktiviert ist, haben Notes IDs keine Notes-Kennwörter mehr. Stattdessen wird zum Schutz der ID ein komplexes "Secret" verwendet. Dieses "Secret" wird anhand eines Microsoft® Windows®-Sicherheitsmechanismus verschlüsselt und auf den Computern der Benutzer lokal gespeichert.
Daraus ergeben sich für mich ein paar Fragen, die in der Hilfe nicht grade groß erklärt werden. Vielleicht habt ihr ja Erfahrungen damit und könnt die Fragen aufklären?
- Die gemeinsame Notes-Anmeldung wird laut Hilfe nicht unter Citrix unterstützt. ->D.h. im Citrix muss das Kennwort doch extra eingegeben werden. Ist es trotzdem das aktuelle Windows-Kennwort, oder das Kennwort welches zuletzt für die Notes-Anmeldung genutzt wurde/das Initialkennwort?
- Wenn die Internetkennwörter zuvor mit Notes-Kennwörtern synchronisiert haben (was bei uns der Fall ist), müssen sie nun die Benutzer die Internetkennwörter verwalten. -> Soll man also den Nutzern die Möglichkeit geben, das Internetkennwort im Personendokument zu ändern oder per iNotes, oder gibt es auch eine Möglichkeit es mit dem Windowskennwort zu synchronisieren?
- Verschlüsselte Mails im iNotes und auf dem BB. -> Welches Kennwort muss dann eingegeben werden, um verschlüsselte Mails auf mobilen Geräten und im iNotes lesen zu können?
- Hier wurde angesprochen die aktuellste Lösung "Shared Login" mit ID Vault zu benutzen. Muss im ID Vault dazu eine Anpassung vorgenommen werden, oder ist das quasi automatisch eingebunden, sobald die "Gemeinsame Notes-Anmeldung" aktiviert wurde?
Ich hoffe ich fahre dem Thread-Ersteller damit nicht über den Mund o.ä.
Ich habe wirklich versucht mich selbst genügend zu informieren, aber jede Erklärung hat dann nur die o.g. Fragen hervorgebracht.
Gruß,
MJ
-
Die gemeinsame Notes-Anmeldung wird laut Hilfe nicht unter Citrix unterstützt. ->D.h. im Citrix muss das Kennwort doch extra eingegeben werden. Ist es trotzdem das aktuelle Windows-Kennwort, oder das Kennwort welches zuletzt für die Notes-Anmeldung genutzt wurde/das Initialkennwort?
Im 4.5er Citrix funktioniert nur SSO, d.h. das in diesem Fall das PW aus der NotesID-File eingegeben werden muss, falls dieses anders als das WinPW ist. Also klassisch wie früher.
-
Wenn die gemeinsame Anmeldung aktiviert ist, haben Notes IDs keine Notes-Kennwörter mehr. Stattdessen wird zum Schutz der ID ein komplexes "Secret" verwendet. Dieses "Secret" wird anhand eines Microsoft® Windows®-Sicherheitsmechanismus verschlüsselt und auf den Computern der Benutzer lokal gespeichert.
Das kann ich nicht glauben, bzw deckt sich nicht mit meinen Erfahrungen. Aber ich verstehe ehrlich gesagt die ganze Problematik nicht.
SharedLogin und ID-Vault sind sicherlich eine gute Sache, womit ich mich bisher aus Zeitgründen noch nicht beschäftigt habe. Wir verwenden seit 10 Jahren ausschliesslich die "gemeinsame" Anmeldung und der letzte Eintrag in unserem Servicedesk wo ein Problem gemeldet wurde liegt 3 Jahre zurück. Das ganze funktioniert absolut stressfrei, und wenn jemand im Windows das Kennwort ändert wird es probelmlos auch in der NOTES.ID geändert. Die Richtlinien sind bei uns allerdings alle von Windows gesteuert, sprich hier müssen die Mitarbeiter alle 180 Tage Ihr Kennwort wechseln.....
Man muss allerdings sagen, dass wir im Moment ausschliesslich 32-Bit Betriebssysteme (hauptsächlich Windows 7 32Bit einsetzen) und den Notesclient 8.51 FP5 verwenden. Eventuell funktioniert es mit anderen Notesclient nicht so stressfrei, wobei es mit 6.x und 7.x auch schon absolut stressfrei war. Mit 64-Bit Clients gibt es natürlich die gemeinsame Anmeldung nicht mehr...
-
"Mit 64-Bit Clients gibt es natürlich die gemeinsame Anmeldung nicht mehr..."
??? Doch, oder? Seit 8.5.2 FPn wieder
-
Wenn die gemeinsame Anmeldung aktiviert ist, haben Notes IDs keine Notes-Kennwörter mehr. Stattdessen wird zum Schutz der ID ein komplexes "Secret" verwendet. Dieses "Secret" wird anhand eines Microsoft® Windows®-Sicherheitsmechanismus verschlüsselt und auf den Computern der Benutzer lokal gespeichert.
Das kann ich nicht glauben, bzw deckt sich nicht mit meinen Erfahrungen. Aber ich verstehe ehrlich gesagt die ganze Problematik nicht.
Also, das fett-geschriebene Zitat stammt aus der Admin-Hilfe.
Problem sind für mich wie gesagt die o.g. Punkte, vor allem die Sache mit den Internetkennwörtern und Kennwort für verschlüsselte Mails im iNotes und auf dem BB.
Ich denke auch (oder hoffe zumindest) dass es, nur auf die Anmeldung an Windows und dem darauffolgenden Öffnen von Notes ohne Passwort bezogen, keine Probleme geben sollte.
Ich möchte das ganze Verhalten eh bald testen, nur wäre es eben praktisch wenn ihr schon Erfahrungswerte über DOs und DON'Ts habt, da ich in diesem Gebiet noch keine jahrelange Erfahrung habe.
-
- Die gemeinsame Notes-Anmeldung wird laut Hilfe nicht unter Citrix unterstützt. ->D.h. im Citrix muss das Kennwort doch extra eingegeben werden. Ist es trotzdem das aktuelle Windows-Kennwort, oder das Kennwort welches zuletzt für die Notes-Anmeldung genutzt wurde/das Initialkennwort?
Das Passwort, das auf dem ID File liegt - als o das "Notes Initialpasswort" bzw. das, auf welches es der User geaendert hat.
@Dr. Domino - Fixed in 8.5.2 FP2 und 8.5.3 (aber nicht fuer Citrix): "SPR# JZJZ7XA7FS (LO47208) - Notes Single Logon will not function on Windows 64 bit client OS due to an incompatability with the 32 bit Lotus Notes Client. With this fix, Notes Single Logon will function on 64 bit Windows client OS. (Technote #1418129 (http://www-01.ibm.com/support/docview.wss?uid=swg21418129))"
Wenn die Internetkennwörter zuvor mit Notes-Kennwörtern synchronisiert haben (was bei uns der Fall ist), müssen sie nun die Benutzer die Internetkennwörter verwalten. -> Soll man also den Nutzern die Möglichkeit geben, das Internetkennwort im Personendokument zu ändern oder per iNotes, oder gibt es auch eine Möglichkeit es mit dem Windowskennwort zu synchronisieren?
Du willst Dir das Thema SPNEGO (http://www-10.lotus.com/ldd/dominowiki.nsf/dx/Deploying_SPNEGO) ansehen, dann brauchst Du das Internet-Passwort von Notes nicht mehr.
Verschlüsselte Mails im iNotes und auf dem BB. -> Welches Kennwort muss dann eingegeben werden, um verschlüsselte Mails auf mobilen Geräten und im iNotes lesen zu können?
Das Kennwort der Notes-ID (welche im Mailfile liegen muss), weil die den private Key beinhaltet. Der ID Vault wuerde sich in neueren Versionen darum kuemmern.
Hier wurde angesprochen die aktuellste Lösung "Shared Login" mit ID Vault zu benutzen. Muss im ID Vault dazu eine Anpassung vorgenommen werden, oder ist das quasi automatisch eingebunden, sobald die "Gemeinsame Notes-Anmeldung" aktiviert wurde?
Automatisch.
-
Im 4.5er Citrix funktioniert nur SSO, d.h. das in diesem Fall das PW aus der NotesID-File eingegeben werden muss, falls dieses anders als das WinPW ist. Also klassisch wie früher.
Definitiv nein. http://www.ibm.com/support/docview.wss?uid=swg21105322
-
Micha, es gibt aber den kleinen aber feinen Unterschied zwischen "funktioniert nicht" und "nicht supported".
-
Da ich 'funktioniert nicht' unter den Vorraussetzungen kenne und es nicht supportet ist, sollte man es meiner Meinung nach auch nicht einsetzen. Du weißt doch, wie man da steht, wenn dieses 'funktioniert nicht' eintritt ;)
-
Alles klar, das mit Citrix nehme ich erstmal so hin.
Frage ist allerdings nun, ob ich das richtig verstehe:
Mit Shared-Login gibt es kein Kennwort auf die ID (laut Hilfe). Also wird dann auch im ID Vault kein Kennwort-Update gemacht, wenn das Windows-Kennwort geändert wird?
Die Citrix-Sache wäre ja halb so schlimm, wenn das Kennwort dann zumindest immer autom. aktualisert würde, sodass es ausreicht sich nur ein Kennwort zu merken. Die Doppelteingabe müssten die User bei Citrix halt verschmerzen.
-
Wenn eine ID ein Kennwort hat behält sie dieses, soweit ich weiß. Eine Kennwortänderung in Windows beinflußt die ID nicht, da ja jedesmal ein Token / Secret generiert wird. Zumindest ist das mein Verständnis der Sache.
-
Wenn eine ID ein Kennwort hat behält sie dieses, soweit ich weiß. Eine Kennwortänderung in Windows beinflußt die ID nicht, da ja jedesmal ein Token / Secret generiert wird. Zumindest ist das mein Verständnis der Sache.
Korrekt.
Das Passwort auf das ID-File muss weiterhin wenn, dann ueber Notes-Mittel gesetzt werden. Abgefragt wird es (wenn es auch einen ID Vault gibt) nur mehr, wenn der User via Web , Blackberry oder Traveler auf eine verschluesselte Mail zugreift.
-
Da ich 'funktioniert nicht' unter den Vorraussetzungen kenne und es nicht supportet ist, sollte man es meiner Meinung nach auch nicht einsetzen. Du weißt doch, wie man da steht, wenn dieses 'funktioniert nicht' eintritt ;)
Ja, das Wehklagen ist dann immer sehr gross. :D
-
Hallo, ich bin auch noch da ;)
Meine Kollegen und ich verfolgen die Diskussion gespannt, so wie es aussieht ja doch ein Thema das andere auch beschäftigt.
Was uns noch nicht klar ist:
Wie wird das Notes Passwort in der ID, in der Vault und im Internet Passwort geändert, wenn man nur das Windows Passwort ändert? Der Ablauf ist uns noch nicht so ganz verständlich.
@m3
noch eine Anmerkung zu weiter oben: Die "Passworterei" wird auch bei Fachanwendungen in keinster Weise mehr akzeptiert. Ich denk mal das ist ein großes Thema für die Zukunft. Die Anwender kommen immer mehr durcheinander mit diversen Passwörtern, die andauernd geändert werden müssen, unterschiedlichste Laufdauern und Vorgaben haben. Ein Thema dass sogar schon in der Fachpresse abgehandelt wurde, und dem wir uns stellen müssen. Dass dahinter Benutzerverwaltungen stecken, die die Anwendungen steuern, ist uns schon klar, aber dass da jeder sein eigenes Süppchen kocht ist auf Dauer nervig und kostet richtig Zeit, Nerven und Geld.
-
Wie wird das Notes Passwort in der ID, in der Vault und im Internet Passwort geändert, wenn man nur das Windows Passwort ändert? Der Ablauf ist uns noch nicht so ganz verständlich.
Gar nicht.
Bei Shared Login schmeisst Notes selber das ID-Passwort weg (aber nur lokal auf der Maschine! Im Vault ist es weiterhin mit PWD drinnen) und verschluesselt dafür das ID-File selbst mit Windows-Mechanismen.
Wenn Du SPNEGO hast, meldest Du Dich mit den Windows Credentials an, da spielt das Internet-Passwort nicht mit.
Was Du aber machen kannst ist folgendes:
Mit dem ID-Vault kommt eine Beispiel-DB, wie der User sein ID-Passwort über eine Webanwendung ändern kann. Auch in der aktuellen C-API gibt es entsprechende Calls, um das ID-Passwort im Vault zu ändern.
Falls Du nun eine Anwendung hast, welche die Passwörter für die FachabteilunsgApps, Windows, ... setzt/ändert, so könntest Du Dich da rein hängen und auch das Notes ID-Passwort (und/oder Internet-Passwort) ändern, ohne dass der User was dazu tun muss oder etwas davon merkt. Wenn er dann eine verschlüsselte Mail via Web, Traveler, ... liest, kann er das ID file mit dem neuen Passwort entsperrren.
Sehr sexy.
Bezgl. des HTTP-Passworts koennte man natuerlich auch was mit dem TDI machen http://publib.boulder.ibm.com/infocenter/tivihelp/v2r1/topic/com.ibm.IBMDI.doc_7.0/pluginsguide.pdf
@m3
noch eine Anmerkung zu weiter oben: Die "Passworterei" wird auch bei Fachanwendungen in keinster Weise mehr akzeptiert. Ich denk mal das ist ein großes Thema für die Zukunft. Die Anwender kommen immer mehr durcheinander mit diversen Passwörtern, die andauernd geändert werden müssen, unterschiedlichste Laufdauern und Vorgaben haben. Ein Thema dass sogar schon in der Fachpresse abgehandelt wurde, und dem wir uns stellen müssen. Dass dahinter Benutzerverwaltungen stecken, die die Anwendungen steuern, ist uns schon klar, aber dass da jeder sein eigenes Süppchen kocht ist auf Dauer nervig und kostet richtig Zeit, Nerven und Geld.
ACK.
-
OK,
Danke für die reichhaltigen Antworten, daran haben wir nun erstmal zu knabbern. Falls es noch Fragen gibt, melde ich mich wieder.
:love:
-
Dazu hätte ich nochmal ne Frage:
Wir haben jetzt Clientversion 8.5.2 FP2 auf WIN 7 im Einsatz und per Policy durchgesetzt, daß kein Shared Login stattfindet und User dies auch nicht ändern dürfen.
Nun die Frage: bei disbaled Shared Login soll es doch 2 verschiedene Kennwörter für WIN und LN geben- der User will das auch so und alles ist schick.
Aber: Der betreffende User bekommt immer wieder nach dem Anmelden die Abfrage, ob er die Passwörter angleichen will, und er muß jedesmal auf "NEIN" klicken und die Frage kann man nicht dauerhaft ausschalten.
Manche unserer User haben aber diese Abfrage dauerhaft aus und arbeiten auch mit 2 verschiedenen Passwörtern für WIN und LN.
Wo gibt es diese Option, diese Abfrage ein- für allemal auszuschalten?
Danke für Ideen.
-
Das Feature "Client Single Login (http://publib.boulder.ibm.com/infocenter/domhelp/v8r0/index.jsp?topic=%2Fcom.ibm.notes.help.doc%2FDOC%2FH_TO_USE_WINDOWS_NT_PASSWORD_SYNCHRONIZATION_WITH_NOTES_OVER.html)" deinstallieren/deaktivieren.
-
Danke für die Antwort: Diesen Artikel kenne ich schon, und wie ich wohl vergessen habe zu erwähnen wird bei uns per Policy durchgesetzt, daß der User diese Einstellung nicht verändern darf. Es ist also für den User unmöglich, diese Einstellung zu verändern, da sie standartmäßig ausgegraut ist.
Außerdem wollen wir daß es zwei Passwörter gibt, und dies nicht verändert wird. Der User möchte lediglich nicht mehr gefragt werden, ob er nicht doch abgleichen will.
Daher ergibt sich für mich eine weitere Frage: irgendwo bei meinen Recherchen habe ich gelesen, daß dieses Feature auch schon bei der Installation von Lotus Notes Client irgendwo mit installiert werden kann. Muß man jetzt den Client deinstallieren und ohne dieses Feature neu installieren? Kann man irgendwo nachprüfen, ob dieses Feature mit installiert wurde oder nicht? Läßt sich diese Option irgendwie anders für diesen User ausschalten?
-
Hi,
Single Logon wird als Windowsdienst installiert und es sollte reichen, wenn du den Dienst deaktivierst.
-
Danke für die Antwort: Diesen Artikel kenne ich schon, und wie ich wohl vergessen habe zu erwähnen wird bei uns per Policy durchgesetzt, daß der User diese Einstellung nicht verändern darf. Es ist also für den User unmöglich, diese Einstellung zu verändern, da sie standartmäßig ausgegraut ist.
Außerdem wollen wir daß es zwei Passwörter gibt, und dies nicht verändert wird. Der User möchte lediglich nicht mehr gefragt werden, ob er nicht doch abgleichen will.
Daher ergibt sich für mich eine weitere Frage: irgendwo bei meinen Recherchen habe ich gelesen, daß dieses Feature auch schon bei der Installation von Lotus Notes Client irgendwo mit installiert werden kann. Muß man jetzt den Client deinstallieren und ohne dieses Feature neu installieren? Kann man irgendwo nachprüfen, ob dieses Feature mit installiert wurde oder nicht? Läßt sich diese Option irgendwie anders für diesen User ausschalten?
Du hast den Artikel anscheinen nur ueberflogen. Dort heisst es:
To disable synchronization
Click File > Security > User Security.
Click Security Basics.
Uncheck "Login to Notes using your operating system login" under "Your Login and Password Settings." You do not have to change your password. Once you disable the synchronization, you have to enter your password when you login to Lotus Notes, rather than being able to open Lotus Notes without entering a password.
To enable synchronization again, check "Login to Notes using your operating system login," and make sure that your operating system and Notes passwords are the same.
Note If Lotus Notes imposes a password history requirement (choose File > Security > User Security), click Security Basics, then click the "Change Password" button for information on your password history), then you may have to choose a new Lotus Notes password. Lotus Notes changes your operating system password to match.
To completely remove the single logon feature you must uninstall Lotus Notes. When you reinstall Lotus Notes, do not install the "Client Single Logon Feature."
Und was man oer Policy aktivert, kann man per Policy auch deaktivieren.
-
@moschkito,
bitte keine alten Threads reaktivieren - da hängen alte Mailings dran. In Zukunft ein neues Thema eröffnen und auf den alten Thread verlinken - Danke ;)