Hi,
man kann Notes-IDs mit mehreren Passwörtern versehen. Das macht man normalerweise bei Certifier-IDs, um dort das 4-Augen-Prinzip anzuwenden.

Datenbanken kann man so nicht schützen.

Oftmals sollen Dokumente vor den Admins geschützt werden. In diesem Fall würde ich mit Lesenamensfeldern oder Codierungsschlüsseln arbeiten.

Andreas

@widmaier
wenn ich aber alle manager rauswerfe (also auch den Server) kann es doch sein, dass die Schablonen nicht mehr upgedated werden usw. oder liege ich da falsch?

Und den User würde ich unter R5 nur Designer geben. Designer ist wichtig, damit der OoO Agent funktioniert, aber der User die ACL nicht mehr verändern kann!

Dann hast Du nur ein kleines Problem mit der Delegierung, dafür muss nämlich die ACL verändert werden.

Meff

Dann kann aber der AdminClient auf dem Domino in alle Datenbanken reingucken.

Genau das möchte ich ja nicht.

Wenn der Serveragent trotzdem die Datenbanken aktualisieren kann, ist es ja ok.

auf das von widmaier.

Die ACL umzustellen wäre ja ok, aber ohne Managerrechte für den Server gehen doch sämtliche 'Nachtjobs' nicht mehr.

Die Haupsache sollte sein, dass die Admins nicht mehr so einfach in die Datenbanken linsen können.

Anderer Ansatz:
Hat es Auswirkungen, wenn man die Programmdateien für den AdminClient  auf dem Domino-Server löscht?

Noch einmal von vorne:
User --> Designer / Person
LocalDomainServer --> Manager / Servergruppe
Administrationsserver --> Manager / Server
fertig!
Zusätzlich eine Pseudo ID mit X(Anzahl Admins) Kennwörtern, wobei mindestens 2 eingegeben werden müssen. --> Manager / Person

ALSO:


Auf unserem Dominoserver (unter W2k-Server) gibt es unter \Lotus\Domino\Data die Datei notes.exe. Dieser Mini-Notes-Client hat VOLLE Zugriffsrechte auf alle Datenbanken, die den Server als Manager eingetragen haben.

DIES möchte ich möglichst unterbinden und stattdessen möglichst Mehrfachkennwörter für die Anwendungs- und Maildatenbanken nutzen.

Ich habe bereits bemerkt, das Mehrfachkennwörter nicht für Datenbanken nutzbar sind.

Hintergrund:
Uns möchte jemand auf die Füsse tappen und behauptet, wir würden in den Maildatenbanken unserer User rumstöbern.

Deutlich genug?

Ein kleiner Lösungsvorschlag:

Wir haben das mal bei einem Kunden so gemacht:
Wenn jetzt ein Problem bei dem Anwender entsteht, sodass die Hotline da reinschauen muss, haben wir ein Mail mit einem Aktionsbutton drin, welches an den Anwender versendet wird. Der Anwender klickt diesen Button und trägt dadurch den Abesender des Mails in die ACL mit Managerrechten ein. Nachdem die Arbeit getan wurde, schmeisst der Admin sich einfach aus der ACL wieder aus.

@Meff
Ich bin schon ewig auf der Suche nach einer Möglichkeit, wie man in Mitarbeiter-ACL's bequem User mit Manager-Zugriff einfügen kann. Deine Schaltfläche hört sich da ziemlich gut an. Könntest Du uns evtl. das Script zur Verfügung stellen?  
Gruß
Markus

So, tschuldigung, hat etwas länger gedauert. Hier der Script:

Sub Click(Source As Button)
' ###############################################################
' # mit diesem Script wird UserName in die ACL als Manager eingetrage,#
' # mit dem Recht Dokumente#
' ###############################################################

   Dim s As New notessession
      Dim workspace As New NotesUIWorkspace
   Dim db as NotesDatabase
   Dim acl as NotesACL
      Dim uidoc As NotesUIDocument
   DIM person as NotesAclEntry
   Dim UserName as String

      Set uidoc = workspace.CurrentDocument
      uidoc.EditMode = True
      Call uidoc.fieldsettext("flag","1")
      Call uidoc.save
           
      UserName=s.UserName
     
      Set db=s.currentdatabase
      Set acl=db.acl
      Set acl = db.ACL

      Set Person = acl.GetEntry(UserName)
      If ( Person Is Nothing ) Then
            Set person=acl.createaclentry(UserName,ACLLEVEL_MANAGER)
      Else
            person.level= ACLLEVEL_MANAGER
      End If

      person.candeletedocuments=True                ' falls  er Dokumente
löschen darf
    ' person.usertype=ACLTYPE_Person             ' nur bei Version 5
möglich!!!!!!!
      acl.save
      uidoc.EditMode = False
End Sub

Das ganze als Button in ein Mail und das war´s.

Meff

Hallo,

wir handeln das so:

1. In der Regel gibt es ja keine Veranlassung mit der Server ID sich anzumelden.
2. Die Rechte braucht der Server
3. Zugriff auf Server am Server direkt - 4 Augen Prinzip
4. Dokumentation (Warum, Wieso,  Weshalb) + Information an Abt.-Leiter
5. Wer diese Regeln bricht hat echt Ärger am Hals (Cheffe + Betriebsrat)