ACL權(quán)限控制講解

Domino中，數(shù)據(jù)庫的存取控制列表是Domino安全性的重要組成部分，也是決定每個用戶能否訪問數(shù)據(jù)庫的主要設置。本文詳述了存取控制列表的各項設置，以幫助用戶更好地理解并使用數(shù)據(jù)庫的ACL。ACL的''基本"頁面ACL的''角色”頁面ACL的''日志"頁面ACL的''高級"頁面存取控制列表（ACL）中可接受的名稱正文 在Domino中，數(shù)據(jù)庫的存取控制列表是Domino安全性的重要組成部分，也是決定每個用戶能否訪問數(shù)據(jù)庫的主要設置。每個數(shù)據(jù)庫都有自己的存取控制列表（AccessControlList,以下簡稱ACL）。打開一個數(shù)據(jù)庫，選擇菜單''文件〃-''數(shù)據(jù)庫"-''存取控制”，就可以看到該數(shù)據(jù)庫的ACL。ACL分為四個頁面：基本、角色、日志和高級。以下分別說明這四個頁面中的內(nèi)容。并說明了ACL中可以接受的名稱格式。ACL的''基本〃頁面ACL的核心功能都包含在''基本〃頁面中。在'個人/服務器/工作組〃中選擇''全部顯示〃，所有存取級別的用戶都會被列出。也可以選擇僅查看''管理者”、''設計者"等某個存取級別的用戶。當選中某個用戶名時，對話框中會顯示他的用戶類型和存取級別，以及與此存取級別相應的一些擴展和限制選項。用戶類型和存取級別指定了用戶對此數(shù)據(jù)庫的最大權(quán)限。數(shù)據(jù)庫的管理員可以增加、刪除或修改用戶的權(quán)限。點擊看大圖

返回七個存取級別ACL中共有七個存取級別：管理者、設計者、編輯者、作者、讀者、存放者和不能存取者。了解這些級別的含義是了解ACL工作機制的基礎。下圖顯示了每個存取級別的缺省權(quán)限，從不能存取者開始，每個級別都比下一級擁有更多的權(quán)限，直到擁有所有權(quán)限的管理者。（每個級別的權(quán)限都包含其下所有級別\ 管理者\ ［且有所有權(quán)限］\ 設計者\ 回以.改設計無麥］\ 編輯者\ 曲I建史檔.編輯所有文檔］\作者7\倒建文檔.暗里文檔］、讀者/\對文檔］\存放者\［劍建文檔］'不能存取者/的權(quán)限）。不能存取者此級別表示用戶沒有任何權(quán)限，不能存取數(shù)據(jù)庫。管理員可以開放給不能存取者的權(quán)限只有''讀取公用文檔”和''寫公用文檔”。關(guān)于公用文檔的概念，見下面的''讀寫公用文檔”部分。存放者和讀者存放者只能向數(shù)據(jù)庫中放入文檔，但不能讀取這些文檔。讀者則只能讀文檔，但不能向數(shù)據(jù)庫中放入文檔。二者都只具有單一的功能。（讀者擁有一個額外的權(quán)限，可以執(zhí)行代理）。作者作者可以創(chuàng)建、修改、刪除文檔。但是，要想使擁有作者權(quán)限的用戶能夠修改、刪除文檔，還需要作進一步的設置：要創(chuàng)建文檔，需要選中''創(chuàng)建文檔”選項。要修改文檔，需要設置文檔中的作者域。要刪除文檔，需要選中''刪除文檔”選項，同時需要設置文檔中的作者域。

在設計數(shù)據(jù)庫時，有一類特殊的域稱為作者域，這種域的類型是''作者”。在文檔中，作者域可以包含用戶、群組或角色的名稱。如果一個用戶在ACL中具有作者權(quán)限，同時，他的名字又包含在文檔的作者域中，那么，這個用戶就是該文檔的所有者之一，可以修改此文檔。如果用戶未被包含在作者域中，則即使此文檔是由他創(chuàng)建的，也無權(quán)修改它。作者域只對存取級別為作者的用戶起作用。其他的存取級別不受作者域的限制。例如，存取級別為讀者的用戶，即使名字包含在作者域中，也無權(quán)修改文檔；存取級別為編輯者以上的用戶，不需要包含在作者域中也可以修改數(shù)據(jù)庫中所有文檔。因此，在設計數(shù)據(jù)庫時，如果需要僅允許用戶修改庫中的一部分文檔，則需要加入作者域，以細化用戶的權(quán)限。編輯者編輯者具有更高的存取權(quán)限，可以修改數(shù)據(jù)庫中的所有文檔。通過各個子選項的設置，還可以賦予編輯者以下權(quán)限：刪除文檔，創(chuàng)建個人代理，創(chuàng)建個人文件夾/視圖，創(chuàng)建共享文件夾/視圖，創(chuàng)建LotusScript/Java代理。設計者作為設計者，用戶可以修改數(shù)據(jù)庫的設計，包括表單、視圖等所有設計元素。通過子選項的設置，還可以賦予編輯者以下權(quán)限：刪除文檔和創(chuàng)建LotusScript/Java代理。如果不允許設計者創(chuàng)建LotusScript或Java代理，則他們不能對數(shù)據(jù)庫中的LotusScript或Java代碼進行修改。管理者管理者具有所有的權(quán)限，包括修改ACL本身。只有數(shù)據(jù)庫的管理者才能賦予其他用戶適當?shù)臋?quán)限。為了保證管理者不會誤刪文檔，也可以將他們自己''刪除文檔”的權(quán)限去掉。返回創(chuàng)建代理和文件夾的選項與創(chuàng)建代理和文件夾有關(guān)的幾個選項對從讀者到設計者的存取級別都適用，因此有必要在此單獨討論。個人代理，顧名思義，只有創(chuàng)建它的用戶自己能夠運行它。例如，用戶可以創(chuàng)建一個個人代理來對數(shù)據(jù)庫中的文檔進行排序。如果用戶在數(shù)據(jù)庫ACL中有適當?shù)臋?quán)限，他所創(chuàng)建的代理就可

以對數(shù)據(jù)庫進行操作。個人代理可以在服務器上后臺運行，也可以在客戶端上運行。共享代理則是供所有用戶公用的代理，讀者以上權(quán)限的用戶都可以運行。每個用戶都可以創(chuàng)建個人文件夾和視圖。如果''創(chuàng)建個人文件夾/視圖”選項被選中，用戶所創(chuàng)建的個人文件夾和視圖都將保存到服務器上的數(shù)據(jù)庫中，會占用服務器的資源。如果此選項不選中，則用戶所創(chuàng)建的個人文件夾和視圖都將保存在客戶端的桌面文件中。共享文件夾和視圖保存在服務器上的數(shù)據(jù)庫中，可供所有用戶使用。用戶要具有編輯者以上權(quán)限，''創(chuàng)建共享文件夾/視圖''選項才可用。LotusScript和Java代理是運行LotusScript或Java語言的代理，可以創(chuàng)建這類代理的用戶就不僅能夠使用公式和簡單操作，還可以使用這兩種語言進行編程，完成較為復雜的功能。讀寫公用文檔使用''讀取公用文檔"和'、寫公用文檔''這兩個選項可以讓''不能存取者''或''存放者''讀寫特定的文檔、表單、視圖和文件夾，而不用給他們''讀者〃或'、作者''的存取級別。要想使文檔成為公用文檔，數(shù)據(jù)庫的設計者需要作兩方面的設置。首先，在''表單”、'、視圖"和''文件夾”屬性對話框的''安全性''附簽中指定''對有公共存取權(quán)限的用戶開放''選項。其次，希望對有公共存取權(quán)限用戶開放的文檔，必須包含一個名為$PublicAccess的域。$PublicAccess域應該是文本域并且它的值應該等于1。五種用戶類型ACL中的用戶類型有五種：個人，服務器，混合組，個人組和服務器組。ACL中的每個名字都有自己的用戶類型，當用戶訪問數(shù)據(jù)庫時，所使用的ID文件的類型應與ACL中的用戶類型相一致。個人和個人組當用戶訪問服務器時，Domino會為用戶生成一個名稱列表，表中包括用戶打開數(shù)據(jù)庫時可以使用的所有名字，包括用戶的公用名和所屬的所有組名。當用戶打開一個數(shù)據(jù)庫時，服務器可以檢測到所使用的是用戶自己的名字還是組名。如果在ACL中一個用戶的名稱被錯誤地指定為''個人組''類型，則該用戶無法打開數(shù)據(jù)庫，因為他不是用群組的身份訪問數(shù)據(jù)庫。

服務器和服務器組服務器和服務器組都表示所用ID必須是服務器，不能用此身份從Notes客戶端訪問數(shù)據(jù)庫。這就保證了用戶必須使用自己的2，在有適當權(quán)限的時候才能訪問數(shù)據(jù)庫，避免某些用戶獲取服務器ID后，在客戶端切換到服務器的ID來訪問數(shù)據(jù)庫。例如，每個數(shù)據(jù)庫的ACL中都包含的LocalDomainServers，就必須是服務器組類型，其中的每個成員都必須是一個服務器?；旌辖M混合組中既可以包含用戶也可以包含服務器。如果為某個名稱指定了混合組類型，則無論使用個人的ID還是服務器的ID，無論從后臺（服務器）訪問還是從客戶端訪問，Domino都允許。綜上所述，當用戶不能訪問數(shù)據(jù)庫時，需檢查ACL中的存取權(quán)限設置，也要檢查用戶類型是否正確。所指定的類型不正確時，也會影響用戶的訪問。返回ACL的''角色''頁面角色是對存取權(quán)限進行細化的重要手段。初學者可能覺得角色很難理解，因為角色可以指定給ACL中的任一項目。從某種意義上來說，角色可以理解為僅在本數(shù)據(jù)庫內(nèi)部起作用的群組。當管理者希望在七級存取級別的基礎上進一步細化存取權(quán)限時，可以使用角色。例如，角色可以在作者域、讀者域、隱藏公式等地方使用。假設某個文檔的讀者域中只包含一個角色的名稱，那么，不具有此角色的用戶，即使擁有管理者權(quán)限也無法看到此文檔。使用角色對數(shù)據(jù)庫的設計者和管理者都很方便。對設計者來說，在開發(fā)階段完全不必考慮最終用戶的具體名稱，也不必把群組的名稱固定地寫在代碼中，只要定義并使用一系列角色即可。特別是對數(shù)據(jù)庫模板的設計者來說，這一點更為方便。對管理者來說，不必為某個應用去修改公用通訊錄，增加或刪除群組，而只要將用戶或群組的名稱加入ACL，賦予他們適當?shù)拇嫒〖墑e和角色，就可以讓他們正常地使用該應用了。Domino自帶的模板中，使用角色的例子很多。如公用通訊錄中，就有［UserCreator］、［UserModifier］等8種角色，分別賦予用戶不同的權(quán)限。

UH-MljdiElBT|tlierCifcfatvlniFiv-diiiwjl七4UH-MljdiElBT|tlierCifcfatvlniFiv-diiiwjlftfc-E?*iiw如如._!條甄.，_J_嗎單」?5頃 r^n”IfI點擊看大圖ACL的''日志''頁面日志頁面顯示了ACL的修改記錄。其中包括每次對ACL項目進行的增加、刪除和更新。不僅有用戶對ACL所作的修改，也有服務器從后臺修改ACL的記錄。ACL也可以被簽名，簽名者的信息顯示在ACL對話框的底部。簽名信息描述了ACL最后是什么時候用哪個驗證字修改的。me%3i.■uCxiTMbJJ.IJih-4Ii?5?OAXWlrflig=s:"M笛g■ih?WEI!l4iiiU4.h.uTMIdfaiYlri.u/LH-ttJ-'fad14farZll-M/：Mv-I.*fedl-ui'anKA/LMi^djicirilfeuii^h.M/Uil.4MHWIH/L'HL￥i"?5.ehmyWH-Ml■li'IJ點擊看大圖ACL的''高級''頁面高級頁面中包括幾項設置，以下分別說明。

點擊看大圖管理服務器在ACL中為數(shù)據(jù)庫指定管理服務器之后，該服務器上的管理進程就可以對此數(shù)據(jù)庫進行自動操作。例如，當刪除了用戶時，管理進程可以自動從ACL中刪除該用戶對應的項目。設置管理服務器可以保證ACL的自動更新，如果沒有指定管理服務器，用戶改名或刪除后管理員需要手工更新數(shù)據(jù)庫的ACL。管理員還可以指定管理服務器是否修改數(shù)據(jù)庫中的讀者域和作者域。如果用戶在改名之后仍需保持原來的所有權(quán)限，則應使管理服務器修改數(shù)據(jù)庫中的讀者域和作者域；如果用戶不再需要原來通過讀者域和作者域所獲得的權(quán)限，則應選擇''不要修改讀者和作者域〃。管理服務器必須是數(shù)據(jù)庫（或數(shù)據(jù)庫的復本之一）所在的服務器。當指定了某個服務器是管理服務器后，在ACL的基本頁面中，該服務器名稱前面的圖標會增加一把鑰匙，如圖所示。點擊看大圖此數(shù)據(jù)庫的所有復本使用相同的存取控制列表當數(shù)據(jù)庫在客戶端本地被打開時，用戶實際上獲得了管理者權(quán)限，無論他在ACL中的實際權(quán)限是什么。這是由于安全性沒有

被強制遵守。如果選中了''此數(shù)據(jù)庫的所有復本使用相同的存取控制列表''選項，用戶在本地就不能獲得比ACL中規(guī)定的更高的權(quán)限。如果用戶修改了本地數(shù)據(jù)庫復本的ACL，則此數(shù)據(jù)庫復本將無法再與服務器上的數(shù)據(jù)庫進行復制。此選項對服務器和客戶端同樣有效。如果一個服務器原來不是數(shù)據(jù)庫的管理者，而此服務器上的復本的ACL被修改了，則此服務器上的復本將不能與其他服務器進行復制。注意，選中此選項并未減低服務器的存取權(quán)限，也不會為用戶或服務器增加權(quán)限。這個選項只是保證復制時使用的是原來指定的權(quán)限。Internet用戶的最大權(quán)限無論在ACL中用戶是什么存取級別（即使用戶是數(shù)據(jù)庫的管理者），當用戶從Web瀏覽器登錄時，最多只能獲得此選項指定的權(quán)限，缺省是編輯者。這樣設置的原因是，基本W(wǎng)eb身份驗證（用戶名和口令）并不是絕對安全，而且大部分設計和管理的工作從瀏覽器端也無法完成，那么，就沒有必要對Internet用戶開放這些權(quán)限了。例如，用戶在ACL中是管理者權(quán)限，但Internet用戶的最大權(quán)限是讀者，當用戶從瀏覽器訪問數(shù)據(jù)庫時，用戶只能是讀者權(quán)限；要想對數(shù)據(jù)庫進行管理，該用戶必須使用Notes客戶端。查找類型為＜未確定〉的用戶Lotus建議用戶在ACL中使用用戶類型，但用戶類型并不是強制要選的。當向ACL中添加項目時，用戶類型可以是''未確定〃。為了減輕管理者的工作，Domino提供了''查找類型為＜未確定〉的用戶〃按鈕。點擊此按鈕，Notes會自動查詢類型為''未確定''的項目，自動為這些項目添加類型。例如，當ACL中有一個未確定類型的項目時，Notes會搜索公用通訊錄，以確定此項目是用戶還是群組。如果是群組，Notes會將此項目的類型設為混合組。出于性能方面的考慮，Notes不會逐一搜索群組中的每個成員，以確定其中是否只包含服務器。返回存取控制列表（ACL）中可接受的名稱存取控制列表中可接受的項目包括用戶、服務器和群組名稱、數(shù)據(jù)庫復本標識符、用于Internet用戶存取和匿名Notes

用戶存取的''匿名”名稱、Internet客戶機的用戶和群組名稱以及等價名。每個名稱最多包含255個字符。通配符項目要允許對數(shù)據(jù)庫的一般存取，可以在存取控制列表中輸入帶有通配符（*）的層次名稱?？梢栽诠裁Q和組織單元部分使用通配符。層次名的相應成分中含有通配符的所有用戶和/或服務器將獲得對數(shù)據(jù)庫指定的存取權(quán)限。例如，通配符格式的存取控制列表項目為：*/Illustration/Production/Acme/US則MaryTsen/Illustration/Production/Acme/US就擁有選定的存取級別，而AlanNelson/Acme/US則沒有此存取級別的權(quán)限。在存取控制列表項目的最左邊只能使用一個通配符。例如：不能使用項目：*/Illustration/*/Acme/US當使用帶通配符的存取控制列表項目時，用戶類型需設置為''未指定”、''混合組”或''個人組”。用戶名稱對于具有經(jīng)過驗證的Notes用戶標識符的個人名稱，或使用名稱和口令或SSL客戶機驗證進行驗證的Internet用戶的名稱，可以將其添加到存取控制列表中。如果正在添加的Notes用戶名稱與存儲數(shù)據(jù)庫的服務器的名稱位于不同的層次組織，那么必須為此用戶輸入完整的層次名稱例如：JohnSmith/Sales/Acme。如果正在添加的Notes用戶名稱與存儲數(shù)據(jù)庫的服務器位于同一個層次組織，只需要輸入其層次名的公共名稱部分，例如：JohnSmith。為了確保更嚴密的名稱安全性，最好使用完整的層次名。?對于Internet客戶，必須輸入將要顯示在''個人〃文檔的''用戶名"域中的名字。存取控制列表中的''-Default-"存取項目和''Anonymous”項目必須設置為''不能存取者”；否則，Notes將賦予Internet用戶'-Default-"或'Anonymous"所具有的存取級別，而不是為用戶指定的存取級別。服務器名稱

可以向存取控制列表中添加服務器的名稱以控制數(shù)據(jù)庫從數(shù)據(jù)庫復本中接收的更改。?如果正在添加的服務器名稱與存儲數(shù)據(jù)庫的服務器位于不同的層次組織，那么必須為該服務器輸入完整的層次名稱，例如：Serverl/Sales/Acme。?如果正在添加的名稱與存儲數(shù)據(jù)庫的服務器位于相同的層次組織，只需要輸入層次名稱的公共名稱部分，例如：Serverl。為了確保名稱更嚴密的安全性，可以使用完整的層次名稱。群組名稱群組是對一個數(shù)據(jù)庫需要相同存取權(quán)限的用戶或服務器的列表。可以向存取控制列表中添加群組名（例如：Training）以表示需要相同存取權(quán)限的多個用戶或服務器。存取控制列表中列出的任何群組，在添加到數(shù)據(jù)庫存取控制列表之前必須已經(jīng)存在于“Domino目錄''中，或者存在于“LDAP目錄'’（在DirectoryAssistance數(shù)據(jù)庫中已經(jīng)為群組擴展配置了該目錄）。群組提供了管理數(shù)據(jù)庫存取控制列表的便利方法。Domino管理員能夠向存取控制列表中添加一個群組，而不是添加一長串單獨的名稱。如果對數(shù)據(jù)庫的存取權(quán)限改變了，管理員只需改變?nèi)航M名的存取權(quán)限，而不必對列表中的每一個單獨名稱進行改變。要新建包含在存取控制列表中的群組，必須對數(shù)據(jù)庫有''管理者”存取級別。對于數(shù)據(jù)庫的管理者，要使用單獨的名稱而不是群組名。于是，當用戶選擇''創(chuàng)建”“其他”''特殊便箋/給數(shù)據(jù)庫管理員的便箋"時，他們可以知道自己在向誰寄信。在存取控制列表中使用群組有如下優(yōu)點：?如果需要改變幾個用戶或服務器的存取級別，可以只對整個群組進行一次改變。如果群組列在多個存取控制列表中，可以在中心位置（即“Domino目錄"或“LDAP目錄〃）修改成員列表，而不是在多個數(shù)據(jù)庫中添加和刪除名稱。?可以使用群組來使某些用戶能夠控制數(shù)據(jù)庫的存取但不能改變設計。例如：可以在“Domino目錄''中為每個

所需的數(shù)據(jù)庫存取級別創(chuàng)建群組，將此群組添加到存取控制列表中，并允許特定的用戶擁有該群組。如果這些用戶在存取控制列表中沒有''管理者”或''設計者''的存取級別，他們就不能修改數(shù)據(jù)庫的設計。群組名稱可以反映群組成員的職責或部門和公司的組織結(jié)構(gòu)。返回終止群組當雇員離開組織時，Domino管理員應當從“Domino目錄〃的所有群組中刪除其名稱，并將其添加到用于終止的群組中，該群組不能訪問服務器。作為數(shù)據(jù)庫管理者，您應當從您管理的所有數(shù)據(jù)庫存取控制列表中刪除終止的雇員名稱。確保向存取控制列表中添加了終止群組并為此群組指定存取級別為''不能存取者〃。等價名等價名是為已注冊的Notes用戶指定的可選別名。如果一個Notes用戶有等價名，可以將其添加到存取控制列表中。等價名提供的安全性級別與主要的層次名稱相同。用戶必須列在群組中并有一個主要層次名或等價名。以等價名格式顯示的用戶名樣例為：SandySmith/ANWest/ANSales/ANAcme，其中AN為等價名。LDAP用戶可以使用一個外部“LDAP目錄''驗證Web用戶。然后將這些Web用戶的名稱添加到數(shù)據(jù)庫的存取控制列表以控制這些用戶對數(shù)據(jù)庫的訪問。也可以在包含這些Web用戶名的外部LDAP目錄中創(chuàng)建群組，然后將這些組做為整體添加到Notes數(shù)據(jù)庫的存取控制列表中。例如：Web用戶可能試圖使用DominoWeb服務器來訪問某個數(shù)據(jù)庫。如果該Web用戶成功通過了驗證，且在數(shù)據(jù)庫的存取控制列表中有一個名為“Web”的群組，那么服務器除了在主“Domino目錄〃中搜索Web用戶名外，還可以在位于外部LDAP目錄中的群組“Web”中查找項目。注意，要使這種情況有用，Web服務器上的“目錄服務”數(shù)據(jù)庫必須為啟用了“群組擴展〃選項的LDAP目錄包含一個“LDAP目錄服務”文檔。還可以使用此功能來查詢存儲在外部LDAP目錄群組中的Notes用戶以進行數(shù)據(jù)庫存取控制列表檢查。

向數(shù)據(jù)庫的存取控制列表中添加LDAP目錄用戶或群組的名稱時，請對名稱使用LDAP格式，但使用斜杠（/）而不是逗號（,）作為分隔符。例如：如果LDAP目錄中的用戶名為：uid=SandraSmith,o=Acme,c=US在數(shù)據(jù)庫的存取控制列表中輸入：uid=SandraSmith/o=Acme/c=US如果在存取控制列表中輸入了非層次結(jié)構(gòu)的LDAP目錄群組名稱，則在項目中不要包含屬性名，而只包含屬性值。例如：如果LDAP群組名為：cn=managers在存取控制列表中只輸入：managers不過，如果群組名為：cn=managers,o=acme則在存取控制列表輸入：cn=managers/o=acme除了非層次結(jié)構(gòu)群組名的情況下，在存取控制列表項目中要包含LDAP屬性名。不過請注意，如果指定的屬性名正好與Notes中使用的那些屬性名（cn,ou,o,c）一致，存取控制列表將不顯示該屬性。例如：如果在存取控制列表中輸入下面的名稱：cn=SandraSmith/ou=West/o=Acme/c=US由于這