Средства безопасности Notes позволяют обеспечить постоянную защиту рабочей области и данных, чтобы доступ к данным пользователя имели только он сам и назначенные им лица.
Средства безопасности данных Notes включают использование единого пароля для Notes и Windows или доступа к серверу Domino через Интернет, отказ от запроса пароля Notes в программах на основе Notes, а также проверку и запрос изменений настройки парольной защиты, установленной администратором. Если пароль забыт, учетную запись можно восстановить с помощью администратора.
Для входа в Notes можно также использовать смарт-карту, сохраняя на ней личные ключи для работы с Интернетом. Если смарт-карта потеряна, учетную запись можно восстановить с помощью администратора.
Шифрование почты с помощью сертификатов Notes и Интернета позволяет исключить прочтения сторонними лицами сообщений даже в случае их перехвата. Использование цифровой подписи гарантирует получателю, что сообщение получено именно от вас, а не от другого лица.
Notes позволяет установить режим, при котором на локальном компьютере выполняется шифрование всех новых реплик созданных баз данных. Более того, можно зашифровывать отдельные документы, чтобы их могли просматривать только те лица, которым отправлен ключ. Пользователь может также накладывать ограничения на действия, выполняемые другими лицами в его клиенте, и регулировать доступ к управляемой им базе данных.
Помимо описанных выше возможностей существуют многие другие средства безопасности Notes. Начиная с этого выпуска большинство средств безопасности, используемых в Notes, объединено в одно диалоговое окно "Безопасность пользователя". Доступ к нему обеспечивается командой: Файл - Безопасность - Безопасность пользователя (для пользователей Macintosh OS X: Notes - Security - User Security).
Учетная запись пользователя Notes и правила ее хранения
Для входа в Notes необходима учетная запись. Учетная запись представляет собой файл, создаваемый администратором и содержащий сведения, необходимые Notes для идентификации пользователя. Файл учетной записи хранится в каталоге Notes/Data и имеет расширение .ID, например JUSER.ID.
Учетная запись содержит имя владельца (обычно это просто имя пользователя), а также сертификаты.
Посмотреть ее содержимое позволяет команда: Файл - Безопасность - Безопасность пользователя (для пользователей Macintosh OS X: Notes - Security - User Security).
Поскольку учетная запись выполняет роль удостоверения личности, ее необходимо хранить в надежном месте, как, например, паспорт или водительские права. Рекомендуется хранить одну копию учетной записи на жестком диске, а другую - на гибком диске, находящемся в другом месте. В этом случае у вас всегда будет резервная копия учетной записи. Наличие копии учетной записи на гибком диске позволяет при необходимости получить доступ к серверу с других рабочих станций Notes.
Отходя от компьютера, необходимо всегда блокировать окно Notes, чтобы защитить данные, доступ к которым предоставляет ваша учетная запись.
Блокировка окна Notes
Блокировка окна Notes позволяет защитить данные на время, когда за компьютером никто не работает, не закрывая при этом рабочие базы данных. Ее рекомендуется выполнять всякий раз, когда приходится отходить от экрана. При блокировке окна Notes выполняется автоматическая очистка экрана, чтобы никто не мог просмотреть находящиеся на нем данные.
Чтобы вручную заблокировать окно Notes
Нажмите клавишу F5 или выберите команду: Файл - Безопасность - Заблокировать экран.Пользователи Macintosh OS X: Notes - Security - Lock Display.
Примечание При работе с набором драйверов смарт-карт версии PKCS#11 V 2.01 или более поздней окно Notes блокируется автоматически при удалении смарт-карты из устройства считывания.
Чтобы задать автоматическую блокировку окна Notes
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность".
В разделе "Настройки отключения" установите флажок "Отключиться (и заблокировать экран Notes) при отсутствии активности в течение n мин" и укажите время (в минутах), по истечении которого должна выполняться блокировка окна Notes.
Чтобы разблокировать окно Notes
Нажмите клавишу ENTER, чтобы вызвать на экран окно ввода пароля (или запрос на ввод PIN-кода при работе со смарт-картой), и введите пароль или PIN-код. После ввода пароля или PIN-кода блокировка окна Notes снимается, а данные снова становятся доступными.
Примечание При работе с набором драйверов смарт-карт версии PKCS#11 V 2.01 или более поздней, если смарт-карта была удалена из устройства считывания, просто вставьте ее обратно и введите PIN-код.
Смена учетных записей
Если компьютер совместно используется несколькими пользователями, а также если у одного пользователя имеется несколько учетных записей, для подключения к почтовому серверу и другим базам данных может понадобиться вначале выбрать нужную учетную запись. Все учетные записи, между которыми можно переключаться, должны храниться на локальном компьютере, на доступном сервере или на гибком диске.
Выберите команду: Файл - Безопасность - Выбрать учетную запись.Пользователи Macintosh OS X: Notes - Security - Switch ID.
Введите путь к файлу учетной записи или выберите в папке учетную запись, на которую необходимо переключиться.
Введите пароль для учетной записи.
Восстановление учетной записи
Если учетная запись пользователя утеряна, повреждена или вы забыли пароль, ее можно восстановить при условии, что администраторами были сохранены необходимые данные. Если вы не уверены, можно ли восстановить учетную запись, обратитесь к администратору.
Если в учетной записи имеются данные для восстановления, причем администратор предусмотрел саму возможность восстановления, Notes в некоторых ситуациях позволяет восстановить испорченную учетную запись. Например, при получении нового общего ключа, смене имени, создании или получении шифровального ключа, а также некоторых других операциях Notes автоматически отправляет зашифрованную резервную копию учетной записи в централизованную базу данных.
Если данные для восстановления учетной записи пользователя уже имеются, перейдите к разделу Чтобы восстановить учетную запись. В противном случае перед восстановлением учетной записи следует сначала подготовить для этого данные.
Чтобы подготовить данные восстановления для учетной записи
Если планируется использовать смарт-карты, то прежде чем разрешить вход в систему по смарт-картам, следует подготовить данные для восстановления.
Обратитесь к администратору и попросите подготовить данные для восстановления вашей учетной записи. Если это возможно, администратор отправит обратно почтовое сообщение с вложенными данными для восстановления.
Откройте сообщение с данными для восстановления.
Выберите команду: Действия - Ввод данных для восстановления.
В окне "Копия учетной записи" нажмите кнопку "Отправить"; при этом исходная копия учетной записи будет отправлена в базу данных для восстановления.
Примечание Использование зашифрованной копии учетной записи Notes невозможно без ее восстановления самим пользователем или администратором Domino.
Чтобы восстановить учетную запись пользователя
Если данные для восстановления учетной записи уже подготовлены администратором, обратитесь к нему с просьбой отправить вам пароли, необходимые для ее восстановления. Пароль восстановления составляется случайным образом и уникален для каждой восстанавливаемой учетной записи и каждого администратора.Примечание При отсутствии доступа к своей учетной записи обратитесь к администратору, который предоставит вам ее зашифрованную копию. Получив эту копию, выполните следующие действия.
После получения паролей для восстановления перезапустите Notes. При первом входе в Notes в диалоговом окне "Пароль" просто нажмите кнопку ОК, не указывая пароль.
В окне "Неправильный пароль" выберите вариант "Восстановить пароль". (Окно "Копия учетной записи" иногда появляется не сразу.)
Выберите нужную учетную запись в окне "Выберите восстанавливаемый файл".
Вводите пароли, предоставленные администратором, до тех пор, пока все пароли не будут указаны. На экране появится запрос на ввод нового пароля для учетной записи.
Введите новый пароль учетной записи пользователя и подтвердите его.Предупреждение Если не ввести новый пароль, учетную запись пользователя придется восстанавливать повторно.
Замените все резервные и используемые копии учетной записи на новую восстановленную учетную запись.
Смена паролей
Пароли предотвращают возможность использования вашей учетной записи другими лицами.При создании учетной записи администратор определяет как необходимость наличия пароля, так и его тип. После первого входа в Notes следует изменить пароль на такой, который вы сможете запомнить, а другие не смогут сразу угадать.
Если администратор задаст срок действия пароля, вам потребуется периодически его менять. Если же срок действия пароля истек до его изменения, старый пароль позволит войти в Notes, однако доступ ко всем серверам будет закрыт. Доступными останутся только локальные базы данных. Для восстановления доступа к серверам необходимо изменить пароль.
Если вход в Notes осуществляется по смарт-карте, пароль для входа указывать не требуется. Вместо этого следует ввести персональный идентификационный номер (PIN) смарт-карты.
Качество защиты пароля и его длина
Пароль может представлять собой произвольную комбинацию вводимых с клавиатуры знаков. При этом система отличает прописные буквы от строчных, а приемлемость пароля зависит от его длины или качества защиты. Требования к паролю задает администратор. Эти требования (длина/качество) появляются в диалоговом окне "Смена пароля".
Если указана длина, пароль обязан содержать заданное число знаков.
Качество определяет уровень защищенности пароля и варьируется в пределах от 0 (минимальное) до 16 (максимальное). Чем выше качество пароля, тем труднее другим его угадать или подобрать.
Чтобы повысить качество защиты пароля, в него следует включить строчные и прописные буквы, цифры и знаки пунктуации. Пароль низкого качества, состоящий, например, из взятых из словаря слов, типичных имен или повторяющихся знаков, может быть отклонен Notes.
Использование пароля в других программах, основанных на Notes
Часто пользователям приходится работать с программами, построенными на основе технологии Notes. Например, это может быть программа, обращающаяся к данным из базы данных Notes. При этом для доступа к данным обычно приходится вводить пароль Notes. В случае, когда само приложение Notes запущено в фоновом режиме, имеет смысл настроить Notes так, чтобы введенный пароль запоминался. При этом для работы с программой, построенной на платформе Notes, его не понадобится вводить несколько раз.
Примечание Если вход в Notes осуществляется по смарт-карте, эта возможность не поддерживается.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность" и установите флажок "Не запрашивать пароль из программ, базирующихся на Notes (снижает безопасность)" в разделе "Настройка подключения и пароля".
Синхронизация пароля Notes и Интернет-пароля для доступа к Domino
Администраторы часто дают пользователям два пароля: собственно пароль Notes и Интернет-пароль для доступа к серверу Domino. Первый из них используется для работы с Lotus Notes, Lotus Domino Designer, Lotus Domino Administrator и другими программами, основанными на платформе Notes, которым требуется для доступа учетная запись пользователя. Интернет-пароль для доступа к серверу Domino нужен для доступа к базам данных Notes из Web-браузера, например при работе с почтой Notes (если она настроена для доступа через браузер) или Web-приложениями для Domino.
Администратор может разрешить синхронизацию паролей Notes и Интернет-доступа к Domino. Это позволяет использовать один пароль для доступа как к Notes, так и к Domino через Интернет.
Если синхронизация паролей администратором не предусмотрена, каждый конкретный пользователь может заблокировать возможность ее включения администратором в будущем.
Примечание Если вход в Notes осуществляется по смарт-карте или учетная запись пользователя защищена несколькими паролями, синхронизация паролей невозможна.
Чтобы синхронизировать пароли Notes и Интернет-доступа к Domino (или отменить их синхронизацию)
Эта процедура доступна, только если синхронизация паролей разрешена администратором. После синхронизации для обоих видов доступа используется пароль Notes.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность".
Установите или снимите флажок "Обеспечить совпадение Интернет-пароля для доступа к Domino и пароля Notes (снижает безопасность)" в разделе "Настройка подключения и пароля". (Этот флажок доступен лишь в случае, когда администратор задействовал возможность синхронизации паролей.)
Чтобы задействовать синхронизацию паролей, повторно установите связь с сервером Notes. В дальнейшем для работы через Web-браузер, клиент Notes или с приложением на основе Notes используйте пароль Notes.
Примечание Синхронизация происходит не мгновенно, время ее выполнения зависит от расписания выполнения административного процесса на сервере.
Чтобы заблокировать возможность разрешения администратором синхронизации пароля Notes и Интернет-доступа к Domino
После выполнения данной процедуры администратор более не сможет разрешить вам синхронизацию паролей. Если в будущем администратору потребуется разрешить синхронизацию, для конкретного пользователя флажок включения синхронизации паролей будет недоступен до тех пор, пока он не активизирует его самостоятельно (см. описанную выше процедуру).
Эта процедура доступна лишь в случае, когда администратор не задействовал возможность синхронизации паролей.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность".
Установите флажок "Не разрешать администратору устанавливать Интернет-пароль для доступа к Domino, совпадающий с паролем Notes" в разделе "Настройка подключения и пароля". (Этот флажок доступен лишь в случае, когда администратор не задействовал возможность синхронизации паролей.)
Синхронизация пароля Windows NT/2000 и пароля Notes
Чтобы синхронизировать пароли Windows NT/2000 и Notes, необходимо вначале удалить Notes с компьютера. После этого заново установите Notes, выполнив процедуру, описанную ниже. При удалении Notes убедитесь, что созданы резервные копии важных файлов (например, закладок, личной адресной книги и учетных записей пользователей).
Примечание Если вход в Notes осуществляется по смарт-карте или учетная запись пользователя защищена несколькими паролями, синхронизация паролей невозможна.
Чтобы установить Notes и обеспечить единый пароль для входа
При установке Notes не забудьте пометить для установки компонент в окне выборочной настраиваемой установки Lotus Notes 6, обеспечивающий использование единого пароля.
Запустите Notes для исходной настройки клиента.
После этого измените пароль Notes так, чтобы он совпадал с паролем Windows NT/2000. Следует учесть, что при выборе команды Файл - Безопасность - Безопасность пользователя флажок "Подключаться к Notes с параметрами подключения ОС" на вкладке "Безопасность" по умолчанию установлен.
После синхронизации паролей Notes и Windows NT/2000 выйдите из Notes и перезапустите компьютер. Войдите в систему, указав пароль Windows NT/2000. При запуске Notes запрос на ввод пароля выдаваться не будет.
Примечание После того как компонент, обеспечивающий использование единого пароля, установлен, его в любой момент можно как выключить, так и снова включить.
Чтобы изменить синхронизированный пароль Notes
После выполнения синхронизации паролей ничто не мешает изменить единый пароль в любой момент. Независимо от того, будет это сделано из Windows или из Notes, пароли останутся согласованными. Смена пароля в Windows описана в справке Windows. Изменить единый пароль из Windows можно, только если пароли Windows и Notes уже совпадают. В противном случае необходимо выполнять смену пароля через Notes. Чтобы изменить пароль в Notes.
Чтобы выключить синхронизацию паролей
Выберите команду: Файл - Безопасность - Безопасность пользователя.
Откройте вкладку "Безопасность".
Снимите флажок "Подключаться к Notes с параметрами подключения ОС" в разделе "Настройка подключения и пароля". При этом изменять пароль необязательно. Как только синхронизация паролей будет отключена, для каждого входа в Notes снова потребуется ввод пароля.Чтобы снова задействовать синхронизацию паролей, установите флажок "Подключаться к Notes с параметрами подключения ОС" и обеспечьте исходное совпадение паролей Notes и операционной системы.
Примечание Чтобы узнать текущую настройку, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Безопасность" и нажмите кнопку "Изменить пароль". Если Notes не позволяет использовать старые пароли, необходимо установить новый пароль Notes. При этом Notes соответствующим образом изменит и пароль операционной системы.
Чтобы полностью исключить возможность использования единого пароля, нужно удалить Notes с компьютера. После этого при переустановке Notes не следует устанавливать компонент для работы с единым паролем.
Примечание Синхронизация паролей на компьютерах Macintosh может быть выполнена с помощью средства Keychain операционной системы Macintosh OS. Дополнительные сведения см. в справочной системе компьютеров Macintosh.
Использование смарт-карт для входа в Notes
Предупреждение Систему входа с помощью смарт-карт ни в коем случае не следует задействовать, не оповестив об этом администратора. Администратор при этом должен убедиться, что для учетной записи не используется режим ограничения срока действия пароля.
Смарт-карты похожи на кредитные карточки, но вместо магнитной полосы у них имеются микропроцессор и микросхема памяти. Начиная с версии Lotus Notes 6, Notes позволяет использовать смарт-карту совместно с учетной записью пользователя при условии, что на компьютере имеется устройство для считывания смарт-карт. Если для учетной записи разрешен вход по смарт-карте, вместо пароля Notes предлагает ввести личный секретный код (PIN-код) смарт-карты. Одним из основных различий между использованием пароля Notes и PIN-кода смарт-карты является блокировка смарт-карты при многократном неправильном вводе PIN-кода, после чего требуется вмешательство администратора.
Преимущество смарт-карт при работе с Notes состоит в том, что они позволяют блокировать учетные записи. В обычном режиме для доступа к Notes нужны только учетная запись и пароль. При работе же со смарт-картой требуются учетная запись, сама смарт-карта и ее PIN-код. Поскольку пользователь носит смарт-карту с собой (подобно кредитной карточке), вероятность "присвоения" его учетной записи другим лицом снижается.
Примечание Notes версии 5 или более ранней не допускает использования учетной записи Lotus Notes 6, настроенной на работу со смарт-картой.
Чтобы разрешить вход в систему по смарт-карте
Если пароль Windows NT/2000 или интернет-пароль для доступа к Domino синхронизирован с паролем Notes, работа со смарт-картой требует эту синхронизацию отключить.
Предупреждение Прежде чем начать работу со смарт-картой, необходимо обратиться к администратору, чтобы убедиться в возможности восстановления учетной записи. Если для входа в систему нужен пароль, параллельно использовать учетную запись, настроенную для работы со смарт-картой, и ее обычную восстановленную версию нельзя. В целом при использовании смарт-карты проверка пароля должна быть отключена. После того как учетная запись была настроена на работу со смарт-картой, отказаться от этого уже невозможно.
Убедитесь, что на компьютере установлено устройство для считывания смарт-карт, а администратор сохранил данные, необходимые для восстановления учетной записи.
Вставьте смарт-карту в устройство считывания.
Выберите команду: Файл - Безопасность - Безопасность пользователя.Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Смарт-карты".
В окне "Настройка смарт-карты" введите полный путь к папке с файлом драйвера смарт-карты PKCS #11 в поле "Файл драйвера смарт-карты" или найдите этот файл с помощью кнопки с изображением папки. (Этот файл обычно устанавливается вместе с устройством считывания смарт-карт.) Например: C:\Schlumberger\Smart Cards and Terminals\Common Files\SLBCK.DLL.Совет В списке, расположенном непосредственно под полем "Файл драйвера смарт-карты", как правило, представлены возможные варианты расположения этого файла.
Нажмите кнопку "Продолжить".
Нажмите кнопку "Разрешить вход с использованием смарт-карт" в окне "Использование смарт-карт в Notes".
Введите пароль Notes, а затем PIN-код смарт-карты. Как только будет получено подтверждение о включении входа по смарт-карте, при входе в Notes следует использовать PIN-код смарт-карты.
Для некоторых смарт-карт поддерживается возможность ввода описания. В этом случае по запросу введите описание в поле "Подпись для входа со смарт-картой". Например: "Карта Ивана Ивановича".
Примечание Отходя от рабочей станции, не забудьте взять смарт-карту с собой. При использовании драйвера смарт-карт PKCS#11 версии 2.01 или более поздней удаление смарт-карты из устройства считывания автоматически приводит к блокированию окна Notes до тех пор, пока смарт-карта не будет вставлена в устройство чтения и не будет повторно введен PIN-код.
Чтобы сохранить личные ключи Интернета на смарт-карте
На смарт-карте можно хранить личные ключи Интернета из личных сертификатов для Интернета (это не относится к сертификатам, полученным от агентств сертификации). Хранение личных ключей Интернета на смарт-карте повышает их уровень защищенности по сравнению с хранением в файле учетной записи. После перемещения личного ключа на смарт-карту при экспорте сертификата в файл помещается только сам сертификат без личного ключа.
Некоторые ключи (в том числе 630-разрядные личные ключи) на смарт-карты помещать нельзя.
Предупреждение Помещенные на смарт-карту личные ключи Интернета удалить невозможно. Восстановить ключи со смарт-карты можно только в случае, когда восстановление предусмотрено для учетной записи. Если данные для восстановления учетной записи изменяются после размещения ключей на смарт-карте, восстановить ключи напрямую становится невозможно. Если же личные ключи Интернета не восстанавливать, данные, зашифрованные с помощью этих ключей, будут недоступны. Перед продолжением этой процедуры узнайте у администратора, могут ли быть восстановлены ваши личные ключи Интернета.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
По запросу введите PIN-код.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В списке выберите вариант "Ваши сертификаты Интернета".
Выберите сертификат Интернета, соответствующий личному ключу, который необходимо сохранить на смарт-карте.
В правой части диалогового окна выберите команду: Другие действия - Переместить личный ключ на смарт-карту.
Получив предупреждение о невозможности отмены действия, нажмите кнопку "Да".
Введите PIN-код.
Должно появиться подтверждение успешного сохранения личного ключа.
Чтобы импортировать сертификаты Интернета со смарт-карты
Если на выданной вам смарт-карте уже сохранены ключи Интернета, Notes поддерживает возможность импорта этих ключей и их сохранения в файле учетной записи. Позже Notes сможет их найти и использовать.
Примечание Эта возможность доступна только пользователям, на компьютерах которых установлено устройство чтения смарт-карт, и использование смарт-карт включено в учетной записи Notes. В противном случае ее нельзя выбрать.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
По запросу введите PIN-код.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Нажмите кнопку "Получить сертификаты". Появится список, в котором перечислены возможные способы импорта сертификатов в файл учетной записи.
Выберите команду "Импорт секретного ключа со смарт-карты". С текущей смарт-карты будут импортированы все доступные сертификаты.
Запрос нового имени пользователя
Чтобы запросить новое имя пользователя, например при смене фамилии после замужества, необходимо обратиться к администратору. После изменения имени пользователь получает новые сертификаты для учетной записи, соответствующей новому имени. При этом возможны два варианта. В одном из них пользователь получает уведомление об изменении имени администратором и должен это изменение одобрить, а в другом изменение выполняется автоматически без уведомления.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Имена", и нажмите кнопку "Изменить имя" в разделе "Имена Notes".
Нажмите кнопку "Отправить сообщение".
Введите новое подходящее имя в соответствующее поле и нажмите кнопку "ОК".
В поле "Кому" введите имя администратора. Если это имя доступно, при подключении к сети оно само появится в поле "Кому". Чтобы найти его в справочнике Domino или личной адресной книге, нажмите кнопку "Адрес".
Введите в поле "Текст" описание необходимых изменений.
При необходимости зашифруйте или подпишите сообщение с помощью флажков "Подпись" и "Шифровать".
Нажмите кнопку "Отправить".
В диалоговом окне "Изменение имен Notes" выберите режим изменения.
Выберите вариант "Запросить подтверждение перед изменением имени", чтобы до завершения администратором этой процедуры, получить уведомление с запросом на подтверждение нового имени. Это удобно, например, в случаях, когда желательно проверить правильность написания имени.
Выбор вариант "Автоматически загрузить и принять изменение имени", если хотите обойтись без процесса уведомления/одобрения.
Дальнейшие события, в зависимости от выбранного администратором способа изменения имени, происходят по одному из трех сценариев.
Имя автоматически изменяется при следующем подключении к серверу, и никаких дополнительных действий не требуется (только при выборе на шаге 8 режима "Автоматически загрузить и принять изменение имени").
На экране появляется предложение принять изменение имени, отклонить его или отложить решение (только при выборе на шаге 8 режима "Запросить подтверждение перед изменением имени"). Выбор варианта "Повторить запрос позже" позволяет отложить решение о смене имени.
На имя пользователя приходит письмо от администратора с новым именем. В этом письме содержатся также указания по включению нового имени в учетную запись.
Доступ к серверам с использованием сертификатов
Сертификат, сохраненный в учетной записи, по сути представляет собой электронную печать, которая, подобно печати в паспорте, заверяет личность пользователя для сервера. Полученная исходно от администратора учетная запись содержит Сертификат Notes. Наряду с ней у пользователя могут быть и сертификаты Интернета. (Сертификаты Интернета иногда называются также сертификатами X.509.)
Чтобы просмотреть все сертификаты, находящиеся в учетной записи, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Что такое сертификаты Notes?
При попытке доступа к любому серверу Domino, будь то почтовый сервер или сервер отдела кадров организации, пользователю нужен сертификат, чтобы идентифицировать себя перед сервером, причем серверу тоже нужен сертификат, чтобы эту идентификацию провести.
Начиная с версии 5 для сертификатов Notes используются составные имена, неотъемлемой частью которых является имя агентства сертификации (АС). (Агентство сертификации - это служба, создающая сертификаты и выдающая их пользователям.) Сертификат выглядит примерно так: "Petr Ivanov/ACME", где "Petr Ivanov" - имя пользователя, а "ACME" - имя АС.
В учетную запись могут входить следующие три типа сертификатов Notes.
Многоцелевые сертификаты Notes покрывают большинство нужд идентификации, включая вход в Notes и доступ к базам данных на серверах Domino. Многоцелевые сертификаты Notes обеспечивают достаточно мощный уровень шифрования, что, в частности, гарантирует высокую защищенность почты, если она отправлена получателю с помощью его многоцелевого сертификата. Каждый сертификат содержит общий ключ, необходимый для подписывания и шифрования сообщений, имя АС, выдавшего сертификат, имя пользователя или сервера, которому сертификат был выдан, дату создания сертификата и срок его действия. Большинство пользователей применяют только многоцелевые сертификаты.
Международные сертификаты Notes используются только для шифрования. Они позволяют отправлять зашифрованные сообщения владельцу сертификата всем, кто по тем или иным причинам не может использовать "сильное шифрование". В общем случае эти сертификаты не предназначены для личного пользования. В учетной записи всегда имеется международный сертификат, даже если он реально не используется.
Простые сертификаты использовались в Notes версии 4.6 и более ранних; они нужны для доступа к серверам старых версий (предшествующих Release 5), применяющим такие сертификаты. Составных имен у простых сертификатов нет. Создать такой сертификат в Notes версии 5 или более поздней нельзя. Использовать простой сертификат в учетной записи в качестве сертификата для входа в Notes можно лишь в том случае, если этот сертификат уже был создан до обновления Notes на версию 5 или более позднюю.
Что такое сертификаты Интернета?
Сертификаты Интернета нужны для доступа к безопасным Web-узлам, таким как https://www.verisign.com, подключение к которым осуществляется по протоколу SSL, а также для шифрования и подписывания почты, отправляемой через Интернет. Обычно такие сертификаты хранятся в Web-браузере, например Netscape или Internet Explorer; однако их можно хранить и в учетной записи, что необходимо для их использования браузером и почтовыми средствами Notes. В сертификатах Интернета часто содержатся адреса электронной почты. Поскольку имена сертификатов Интернета имеют значительную длину, Notes отображает адреса электронной почты в укороченном формате, что позволяет понять, кому сертификат принадлежит. Если адрес электронной почты недоступен, на
экране отображается наиболее существенная часть имени сертификата Интернета. Например, сертификат имеет вид: CN=ACME Internet CA/O=ACME/S=MOSOCW/C=RU. Для этого сертификата на экране появится часть имени "ACME Internet CA".
Примечание Чтобы увидеть имя сертификата Интернета целиком, выберите команду: Файл - Безопасность - Безопасность пользователя (пользователи Macintosh OS X: Notes - Security - User Security), откройте вкладку "Идентификация - Сертификаты" выберите в списке "Ваши сертификаты Интернета" и нажмите кнопку "Дополнительные сведения".
Сертификаты Интернета рассматриваются Notes как многоцелевые сертификаты Интернета. В Notes этот тип сертификатов используется для доступа к безопасным Web-страницам с помощью браузера Notes, для отправки и получения зашифрованных сообщений в стандарте S/MIME, а также для безопасного подключения к службам Интернета по протоколу SSL.
В отличие от сертификатов Notes, один сертификат Интернета можно использовать для подписывания сообщений, а другой - для их шифрования.
Обновление сертификатов Notes перед истечением срока их действия
В учетную запись Notes всегда входят многоцелевой и международный сертификаты Notes. Срок их действия ограничен, и по его истечении сертификаты следует обновить. Если сертификат не обновить перед завершением срока действия, он становится недействительным. Запустить Notes с истекшим многоцелевым сертификатом можно, однако войти хотя бы на один сервер Notes при этом не удастся. В этом случае следует обратиться к администратору.
При обновлении сертификата изменяется только срок его действия. Общие и личные ключи сохраняются. Поскольку личные ключи не изменяются, администратор может обновлять сертификаты без вмешательства пользователя. Если он не обновит сертификаты автоматически, перед завершением срока их действия пользователю будет выдано предупреждение.
Чтобы определить срок действия сертификата, выберите команду: Файл - Безопасность - Безопасность пользователя (пользователи Macintosh OS: Notes - Security - User Security), откройте вкладку "Безопасность" и посмотрите в разделе "Личные данные" значение параметра "Срок действия файла учетной записи". Чтобы узнать срок действия сертификатов Интернета или простых сертификатов, в диалоговом окне "Безопасность пользователя" откройте вкладку "Идентификация", а затем - вкладку "Сертификаты", в раскрывающемся списке задайте нужный тип сертификатов, выберите сертификат и посмотрите значение, указанное для него в поле "Годен до".
Примечание Если вы не пользуетесь почтой Notes, получив уведомление, обновите сертификат через гибкий диск, передав его администратору.
Чтобы обновить сертификаты Notes
При отправке сертификата пользователь фактически отправляет защищенную копию учетной записи. Сведений, содержащихся в защищенной копии, достаточно для перезаверения учетной записи, но недостаточно для ее злонамеренного использования.
При любом обновлении своего сертификата не забудьте обновить все копии учетной записи (это не касается роуминг-пользователей, учетные записи которых реплицируются).
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность" и нажмите кнопку "Обновить" в разделе "Личные данные".
Нажмите кнопку продолжить в окне "Подтверждение обновления".
В поле "Кому" введите имя администратора Domino. Если это имя доступно, при подключении к сети оно само появится в поле "Кому". Чтобы найти его в справочнике Domino или личной адресной книге, нажмите кнопку "Адрес".
Нажмите кнопку "Отправить".
Процесс обновления завершается после того, как администратор ответил на запрос. Подготовленные администратором обновленные сертификаты либо приходят по почте (откройте почту и выберите команду: Действия - Принять сертификат), либо автоматически включаются в учетную запись при следующем входе в Notes. Удостоверившись, что обновленные сертификаты Notes попали в учетную запись, обновите все копии файла учетной записи.
Чтобы обновить сертификаты Notes с помощью гибкого диска или другой почтовой программы
Чтобы обновить сертификат Notes по почте или через гибкий диск, необходимо создать защищенную копию учетной записи и отправить ее администратору. Сведений, содержащихся в защищенной копии, достаточно для перезаверения учетной записи, но недостаточно для ее злонамеренного использования.
При любом обновлении своего сертификата убедитесь также в том, что обновлены все копии вашей учетной записи.
Если используется гибкий диск, вставьте его в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность" и нажмите кнопку "Обновить" в разделе "Личные данные".
Нажмите кнопку "Экспорт учетной записи" в окне "Подтверждение обновления".
Выберите папку на гибком диске или папку, к которой имеется доступ из почтовой программы, в окне "Имя защищенной копии учетной записи".
Введите имя файла защищенной копии учетной записи пользователя в поле "Имя файла" (пользователи Macintosh - в поле "Save As"). По умолчанию он называется SAFE.ID
Нажмите кнопку "Сохранить" и закройте окно "Подтверждение обновления".
Передайте гибкий диск администратору Domino или вложите защищенную копию учетной записи в почтовое сообщение и отправьте его администратору.
Получив диск обратно, необходимо импортировать обновленный сертификат в учетную запись.
Чтобы запросить новые простые сертификаты Notes
Чтобы получить новый простой сертификат, достаточно отправить соответствующий запрос администратору заверителя, использующего такие сертификаты. Простые сертификаты иногда нужны для доступа к старым серверам.
Вставьте гибкий диск в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Выберите команду: Получить сертификаты - Запросить новый простой сертификат Notes.
Введите имя администратора Domino в поле "Кому" (для выбора из личной адресной книги нажмите кнопку "Адрес"). Если это имя доступно, при подключении к сети оно само появится в поле "Кому".
Нажмите кнопку "Отправить".
Когда администратор пришлет новый сертификат, откройте сообщение и выберите команду: Действия - Принять сертификат.
Примечание При импорте в учетную запись простого сертификата или нового имени пользователя на экране появляется диалоговое окно "Включение сертификата в учетную запись". В нем требуется указать, следует ли доверять другим сертификатам, подписанным агентством сертификации (АС), создавшим данный сертификат. При положительном ответе пользователь получает доступ ко всем серверам, имеющим данный сертификат или распознаваемым АС, которое выдало сертификат. В противном случае доступ к этим серверам будет закрыт.
Запрос сертификатов Интернета
Сертификат Интернета можно запросить через администратора на сервере Domino или у другого поставщика. Вне зависимости от источника сертификата его можно будет использовать в Notes, только если запрос на него выполнен из браузера Notes. Сертификаты Интернета применяются для подписывания и шифрования сообщений, а также для безопасных подключений через Интернет.
Если сертификат Интернета получен с помощью другого браузера, например Netscape, необходимо экспортировать его из браузера, а затем импортировать сертификат Интернета обратно в Notes.
До истечения срока действия сертификат Интернета необходимо обновить тем же способом, каким он был получен изначально. Последний добавленный в учетную запись сертификат Интернета становится сертификатом, используемым по умолчанию для подписывания почты.
Получив сертификат Интернета, необходимо создать архивную копию учетной записи.
Чтобы запросить сертификат Интернета через администратора с сервера Domino
Сообщите администратору о необходимости получить сертификат Интернета. Возможны следующие варианты.
Администратор самостоятельно подает запрос на сертификат Интернета для вас. Как только сертификат будет получен и сохранен, Notes автоматически добавит его в вашу учетную запись при первом же подключении к основному серверу.
Администратор сообщит вам адрес Интернета, который позволит запросить сертификат Интернета самостоятельно. Откройте указанный Web-узел в браузере Notes и выполните дальнейшие действия.
Если отправленный администратором адрес представляет собой агентство сертификации (АС) Domino, прежде чем запросить сертификат Интернета, щелкните ссылку, позволяющую работать с агентством из браузера ("Accept This Authority In Your Browser").
Нажмите кнопку "Установить сертификат" ("Install Certificate"). Подтвердите установку сертификата от АС Интернета.
При появлении на экране окна "Перекрестный сертификат" нажмите кнопку "Перекрестно заверить". После появления сообщения об успешном завершении нажмите кнопку ОК. При этом в адресную книгу будут добавлены сертификат АС Domino и перекрестный сертификат для него.
Вернитесь к исходному узлу, указанному администратором, и запросите сертификат клиента в соответствии с инструкциями, которые имеются в форме.
Полученное от администратора сообщение будет включать уникальный номер, который потребуется, чтобы получить сертификат Интернета. Обязательно сохраните этот номер.
В браузере Notes выполните инструкции, содержащиеся в сообщении администратора. Для получения сертификата Интернета необходим полученный ранее идентификационный номер.
После установки сертификат Интернета помещается в учетную запись.
Примечание Чтобы использовать сертификат Интернета на другой рабочей станции, следует перенести на другой компьютер свою учетную запись.
Чтобы запросить сертификат Интернета у другого поставщика
При запросе сертификата Интернета с помощью окна "Безопасность пользователя" происходит автоматическое изменение параметров места вызова (как правило, это необходимо для настройки браузера Notes). В дальнейшем следует воздержаться от изменения настройки места вызова вплоть до завершения установки нового сертификата. По завершении установки сертификата в случае, если параметры места вызова были ранее изменены автоматически, на экран будет выведено напоминание о необходимости их заново проверить.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Получить сертификаты - Запросить новый сертификат Интернета.
Введите в поле URL полный адрес агентства сертификации (АС), у которого необходимо запросить сертификат Интернета. Несколько таких адресов Notes предоставляет по умолчанию.
(Необязательно.) Установите флажок "Не принимать решения о доверии, принимать все сертификаты Web-узлов (снижается безопасность)" Если этот флажок не установлен, не исключено получение запроса на создание перекрестных сертификатов для сертификатов Web-серверов, не являющихся доверенными.
Нажмите кнопку "Открыть Web-страницу".
Запросите сертификат клиента в соответствии с инструкциями на Web-узле.
Если в личной адресной книге отсутствует перекрестный сертификат для АС, у которого запрашивается сертификат, может появиться сообщение об ошибке "Сертификат службы Интернета не является доверенным. Выполнить действия по исправлению (т.е. загрузить сертификат службы и решить, следует ли ему доверять)". Нажмите кнопку "Да", а затем - кнопку "Подключить". Нажмите кнопку "Перекрестно заверить", а получив сообщение об устранении всех проблем с доверием - кнопку ОК. Новый перекрестный сертификат Интернета будет помещен в личную адресную книгу. Обновите Web-страницу и продолжайте выполнение инструкций.
Полученное от поставщика сообщение будет включать уникальный номер, который потребуется, чтобы получить сертификат Интернета. Обязательно сохраните этот номер.
Чтобы получить сертификат клиента, в браузере Notes следуйте инструкциям, содержащимся в сообщении поставщика. Для получения сертификата Интернета необходим полученный ранее идентификационный номер.
После установки сертификат Интернета помещается в учетную запись.
Примечание Чтобы использовать сертификат Интернета на другой рабочей станции, следует перенести на другой компьютер свою учетную запись.
Импорт и экспорт сертификатов Интернета для использования в браузерах
Вновь полученные сертификаты Интернета можно использовать только в браузере, из которого они были запрошены. Однако экспорт сертификатов из браузера и их импорт в учетную запись позволяют задействовать их также в браузере Notes и при работе с почтой в стандарте S/MIME. Аналогичным образом, сертификаты можно экспортировать из учетной записи для применения в других, отличных от Notes, браузерах. Процесс экспорта и импорта сертификатов иногда полезен и при работе с другими приложениями, например Microsoft Outlook.
Чтобы импортировать сертификат Интернета в учетную запись
Если в браузере, например в Netscape, сохранен сертификат Интернета и его требуется использовать в браузере Notes, этот сертификат следует импортировать в учетную запись.
Импорт недействительных сертификатов Интернета и незавершенных цепочек сертификатов не допускается.
Экспортируйте сертификат Интернета из браузера и сохраните в каталоге, откуда его потом нетрудно будет взять. Если есть возможность выбрать формат экспорта, укажите формат PKCS 12, включающий личные ключи Интернета и все вспомогательные сертификаты Интернета из цепочки. Если состав экспортированных объектов не входит личный ключ Интернета, импортировать сертификаты в учетную запись не удастся.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Получить сертификаты - Импорт сертификатов Интернета.
Выберите файл, содержащий экспортированный из браузера сертификат Интернета, в появившемся диалоговом окне и нажмите кнопку "Открыть".
При необходимости выберите формат импортируемого сертификата Интернета, а затем нажмите кнопку "Продолжить". По умолчанию формат выбирается в Notes автоматически.
Если для файла указан пароль, введите его.
Чтобы принять импортируемый сертификат, нажмите кнопку "Принять все" в окне "Импорт сертификатов Интернета".
Чтобы проверить, что все сертификаты Интернета импортированы в учетную запись, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Идентификация", а затем - вкладку "Сертификаты", и выберите в раскрывающемся списке тип "Ваши сертификаты Интернета".
(Рекомендуется.) Завершив импорт сертификатов Интернета, создайте архивную копию учетной записи (это не относится к роуминг-пользователям, которым архивные копии учетных записей не нужны).
Примечание По завершении импорта сертификата Интернета в учетную запись может понадобиться создать для него перекрестный сертификат, если импортированный сертификат не числится доверенным.
Чтобы экспортировать сертификат Интернета из учетной записи
Если уже имеющийся в учетной записи Notes сертификат Интернета необходимо использовать в другом браузере, например в Netscape, сертификат следует экспортировать из учетной записи.
Допускается одновременный экспорт только одного сертификата. Выбранный сертификат Интернета экспортируется вместе с со всей цепочкой.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Укажите экспортируемый сертификат Интернета, выбрав в раскрывающемся списке значение "Ваши сертификаты Интернета".
В правой части диалогового окна выберите команду: Дополнительные действия - Экспорт сертификата.
Выберите формат сертификата для экспорта, а затем нажмите кнопку "Продолжить". По умолчанию используется формат PKCS 12, который обычно совместим с большинством браузеров.
Если выбран формат экспорта PKCS 12, в поле "Предлагаемое имя" рекомендуется ввести (или исправить) описательное имя сертификата. Это имя позволит в дальнейшем отличать сохраненные в браузере сертификаты друг от друга. Именно оно будет во всех случаях использоваться браузером для данного сертификата.
Чтобы при экспорте в формате PKCS 12 экспортировать не только сертификат Интернета, но и соответствующий ему личный ключ, в окне "Параметры экспорта" установите флажок "Экспорт личного ключа, соответствующего данному сертификату" и нажмите кнопку "Продолжить". Если личный ключ не экспортируется, сертификат будет непригоден для выполнения многих функций по обеспечению безопасности.
Примечание Если экспорт выполняется из диалогового окна "Безопасность пользователя", причем экспортировать личный ключ не удается несмотря на то, что формат PKCS 12 обычно это позволяет, весьма вероятно, что ключ сохранен на смарт-карте и экспорту не подлежит.При выборе формата PKCS 12 в диалоговом окне "Пароль для экспорта сертификатов Интернета" введите пароль для экспортируемого файла и подтвердите его, а затем нажмите кнопку "Продолжить". Если пароль для файла экспорта не требуется, выберите режим "Без пароля".
Укажите каталог и имя файла для экспорта в появившемся диалоговом окне и нажмите кнопку "Сохранить".
Удаление сертификатов
Из учетной записи можно удалить и простые сертификаты, и сертификаты Интернета. При этом, однако, Notes сохраняет соответствующие ключи, которые необходимы для расшифровки данных, зашифрованных с помощью удаленных сертификатов. Чтобы просмотреть ключи удаленных сертификатов, выполните шаги 1 и 2 (см. ниже), а затем в раскрывающемся списке выберите значение "Все ключи".
Примечание Удаление составных сертификатов Notes невозможно.
Чтобы удалить сертификаты из учетной записи
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В раскрывающемся списке выберите значение "Все сертификаты".
Укажите удаляемый сертификат и в правой части диалогового окна выберите команду: Дополнительные действия - Удалить из учетной записи.
Примечание При отсутствии разрешения на удаление выбранного сертификата команда "Удалить из учетной записи" недоступна.
Как устанавливаются доверительные отношения для сертификата Notes или Интернета
Сертификаты Notes и Интернета используются в качестве удостоверений. Во многих случаях приходится решать вопрос о том, являются ли сертификаты, встреченные Notes, законными, т.е. можно ли им доверять. Наиболее удобный способ подтверждения доверия к сертификату состоит в объявлении доверия по отношению к агентству сертификации (АС) в целом, что позволит в дальнейшем доверять всем сертификатам, выданным этим АС. При первом получении учетной записи единственным полностью доверенным АС является только АС, выдавшее сертификаты Notes. Доверие по отношению к сертификатам других АС, в том числе не относящихся к числу доверенных, устанавливается только после явного указания на необходимость доверять сертификатам определенного АС или отдельным сертификатам этого АС.
Чтобы просмотреть сертификаты, для которых установлены доверительные отношения, или изменить эти отношения для конкретных сертификатов, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Другие пользователи" и выберите "Люди, службы" или "Агентства". Дополнительные сведения о вкладке "Люди, службы", на которой присутствуют доверенные сертификаты отдельных пользователей и служб. Дополнительные сведения о вкладке "Агентства", на которой представлены доверенные сертификаты АС, см. в разделе Агентства сертификации и выданные ими сертификаты.
Помимо управления доверительными отношениями в диалоговом окне "Безопасность пользователя", решения о доверии иногда приходится принимать непосредственно в ходе работы. Ниже приведены примеры ситуаций, в которых может потребоваться создание перекрестного сертификата, устанавливающего доверительные отношения для сертификата Notes или Интернета. Создание перекрестного сертификата аналогично установлению доверительных отношений для сертификата в диалоговом окне "Безопасность пользователя".
Перекрестный сертификат Notes При попытке доступа к серверу Notes из домена Domino, в который вы не входите, могут быть обнаружены сертификаты Notes, не относящиеся к числу доверенных. В этом случае выдается запрос на создание перекрестного сертификата либо для сертификата сервера, либо для АС, выдавшего этот сертификат. Без перекрестного сертификата подключение к серверу будет невозможно из-за отсутствия доверия по отношению к сертификатам сервера. Создание перекрестного сертификата для сертификата сервера позволяет зарегистрировать доверие по отношению к сертификату и признать его законным. Создание же перекрестного сертификата для АС, выдавшего сертификат сервера, устанавливает доверительные отношения для любого сертификата, выданного этим АС.
Перекрестный сертификат Интернета При получении почты в стандарте S/MIME от лица, заверившего сообщение цифровой подписью, вместе с сообщением приходят сертификат отправителя и сертификат АС, выдавшего ему сертификат. Если Notes не доверяет этим сертификатам, выдается запрос на создание перекрестного сертификата либо для сертификата отправителя, либо для АС, которым этот сертификат выдан. Если не создать такой перекрестный сертификат, сообщение прочесть все равно удастся, однако запрос на создание перекрестного сертификата будет появляться при каждом его открытии из-за отсутствия доверительных отношений. Создание перекрестного сертификата для сертификата отправителя позволяет зарегистрировать доверие по отношению к сертификату и признать его законным. Создание же перекрестного сертификата для АС, выдавшего сертификат отправителя, устанавливает доверительные отношения для любого сертификата, выданного этим АС. Следует отметить, что создание перекрестного сертификата для АС никогда не делается по у
молчанию, а пользоваться этим приемом следует с осторожностью, так как сертификат выдан за пределами домена Notes.
Поиск доверенных сертификатов Notes и Интернета
Все сертификаты, принадлежащие отдельному пользователю, можно найти в личной адресной книге или в справочнике Domino. Предположим, что необходимо отправить зашифрованное сообщение сослуживцу. Для этого Notes необходим сертификат этого человека. Если нет уверенности в том, что Notes найдет нужный сертификат, либо в том, что этот сертификат является доверенным, необходимо выполнить поиск всех принадлежащих данному сотруднику сертификатов.
Чтобы найти сертификат по имени пользователя
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Установите переключатель в положение "Искать имя в справочнике и в личной адресной книге", а затем выполните одно из следующих действий.
Введите в поле "Адрес почты Интернета или имя Notes" имя нужного пользователя. Если введено имя группы, будут показаны сертификаты всех участников группы. Имя можно указать любым из перечисленных ниже способов.| Имя
| Описание
|
|---|
| Ivan Kuznetsov/ACME |
Имя пользователя Notes |
Kuznetsov
kuznetsov
|
Фамилия |
| Ivan |
Имя (будут найдены все Иваны, присутствующие в справочнике Domino) |
| ikuznetsov |
Краткое имя Notes |
| CN=Ivan Kunzetsov/O=ACME |
Полное имя сертификата Notes |
| Ivan_Kuznetsov@ACME.ru |
Адрес электронной почты |
| Kuznetsov/O=ACME |
Полное имя сертификата Интернета |
| Pisateli |
Имя группы Notes |
Щелкните значок с изображением пользователя справа от поля "Адрес почты Интернета или имя Notes", выберите адресную книгу, в которой необходимо выполнить поиск, в списке "Выберите адресную книгу" и укажите в поле "Найти имена, начинающиеся с" фамилию пользователя.
Нажмите кнопку "Искать имя". Появится список сертификатов, принадлежащих искомому пользователю. Если сертификат является доверенным (обычно это означает наличие соответствующего перекрестного сертификата в личной адресной книге), рядом с ним в столбце "Доверие" будет стоять галочка.
Чтобы найти сертификаты в личной адресной книге
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Выберите параметр "Показать все записи адресной книги". Появится список сертификатов для пользователей и служб, найденных в адресной книге. Если сертификат является доверенным (обычно это означает наличие соответствующего перекрестного сертификата в личной адресной книге), рядом с ним в столбце "Доверие" будет стоять галочка.
Чтобы получить у администратора заверенные сертификаты для использования по умолчанию
Существует возможность загрузить сразу все заверенные сертификаты из справочника Domino, однако это относится только к сертификатам, решение доверять которым принято администратором. В личной адресной книге решение доверять сертификатам из справочника реализуется путем создания перекрестных сертификатов.
Предупреждение Следует учесть, что импорт заверенных администратором сертификатов может привести к изменению параметров, установленных в личной адресной книге.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Установите переключатель в положение "Дополнительные сведения о пользователе/службе".
Нажмите кнопку "Загрузить стандартные административные параметры доверия".
Чтобы найти заверенные сертификаты в других адресных книгах
Если Notes не находит необходимых сертификатов, можно просмотреть другие адресные книги.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Установите переключатель в положение "Дополнительные сведения о пользователе/службе".
Щелкните значок с изображением пользователя в верхней части окна.
Отправка и получение сертификатов Notes для установки доверительных отношений
Доверительные отношения для сертификата устанавливаются посредством перекрестного сертификата. Чтобы кто-либо иной мог создать для вашего сертификата перекрестный сертификат, может понадобиться отправить свой сертификат Notes этому пользователю. Вы, в свою очередь, также можете получить сертификат Notes, для которого необходим перекрестный сертификат. Можно также создать перекрестный сертификат для сертификата из справочника Domino.
Примечание Пользователю, не работающему с почтой Notes, придется передавать сертификат на гибком диске.
Чтобы отправить свой сертификат
При отправке своего сертификата пользователь фактически отправляет защищенную копию учетной записи. Сведений, содержащихся в защищенной копии, достаточно для создания перекрестного сертификата, но недостаточно для ее злонамеренного использования.
Примечание При работе с простым сертификатом ответить на запрос о перекрестном сертификате нельзя.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Дополнительные действия - Ответить на запрос перекрестного заверения.
Выберите файл учетной записи, содержащей сертификат, который нужно отправить, и нажмите кнопку "Открыть".
Введите в поле "Кому" имя пользователя, которому необходимо отправить учетную запись (чтобы выбрать имя из личной адресной книги, нажмите кнопку "Адрес").
Нажмите кнопку "Отправить".
Когда пользователь получит вашу учетную запись в сообщении электронной почты, он сможет создать для вашего сертификата перекрестный сертификат, а затем отправлять вам зашифрованные почтовые сообщения.
Чтобы создать перекрестный сертификат на основе полученного сертификата
Обратитесь к лицу, сертификат которого вам нужен, и попросите его ответить на запрос о перекрестном заверении.
Откройте сообщение, содержащее учетную запись, которую нужно перекрестно заверить.
Выберите команду: Действия - Перекрестно заверить вложенную учетную запись.
В окне запроса пароля учетной записи заверителя введите пароль для указанной учетной записи. По умолчанию в окне запроса пароля присутствует ваша учетная запись с составным именем, поэтому достаточно ввести пароль Notes.
В окне "Перекрестный сертификат" оставьте без изменений значения по умолчанию для заверителя и сервера. Заверителем при этом являетесь вы сами, а в роли сервера выступает локальный компьютер, что позволяет поместить перекрестный сертификат в личную адресную книгу.
Выберите режим создания перекрестного сертификата, при котором в поле "Имя" находится:
корень сертификата, например /ACME; при этом доверенным будет любой сертификат, выданный от имени этого корня;
организация сертификата, например /ABC/ACME; при этом доверенными будут только сертификаты, выданные от имени этой организации.
Нажмите кнопку "Перекрестно заверить".
Чтобы создать перекрестный сертификат на основе записи о пользователе в справочнике Domino
В справочнике Domino могут содержаться записи о пользователях из другой организации. Если такому пользователю нужен доступ к конкретному серверу в вашей организации, имеет смысл создать для него личный перекрестный сертификат. Сам пользователь должен при этом предоставить сертификат для перекрестного заверения. Данная задача выполнима только при наличии доступа на уровне автора к записи пользователя в справочнике Domino.
В справочнике Domino откройте запись пользователя, для которого выполняется перекрестное заверение.
Выберите команду: Действия - Создать перекрестный сертификат.
Выберите сертификат для перекрестного заверения.
В окне "Перекрестный сертификат" оставьте без изменений значения по умолчанию для заверителя и сервера. Заверителем при этом являетесь вы сами, а в роли сервера выступает локальный компьютер, что позволяет поместить перекрестный сертификат в личную адресную книгу.
Выберите режим создания перекрестного сертификата, при котором в поле "Имя" находится:
корень сертификата, например /ACME; при этом доверенным будет любой сертификат, выданный от имени этого корня;
организация сертификата, например /ABC/ACME; при этом доверенными будут только сертификаты, выданные от имени этой организации.
Нажмите кнопку "Перекрестно заверить".
Чтобы передать другому лицу сертификат на гибком диске
При передаче другому лицу сертификата на гибком диске необходимо сохранить на этом диске защищенную копию учетной записи. Сведений, содержащихся в защищенной копии, достаточно для создания перекрестного сертификата, но недостаточно для ее злонамеренного использования.
Вставьте гибкий диск в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Другие действия - Экспорт учетной записи Notes (защищенная копия).
Перейдите на дисковод, в который вставлен гибкий диск.
Введите имя файла защищенной копии учетной записи пользователя в поле "Имя файла" (пользователи Macintosh - в поле "Save As"). По умолчанию он называется SAFE.ID
Нажмите кнопку "Сохранить", а затем передайте гибкий диск лицу, запросившему сертификат.
Получив вашу учетную запись, другой пользователь должен будет импортировать сертификат в свою учетную запись. После этого он сможет перекрестно заверить сертификат и отправлять вам зашифрованные почтовые сообщения.
Чтобы загрузить перекрестный сертификат Интернета
Если при запросе сертификата Интернета в личной адресной книге отсутствует перекрестный сертификат для агентства сертификации (АС), в котором запрашивается сертификат, для получения сертификата необходимо загрузить перекрестный сертификат Интернета.
При попытке подключиться к Web-узлу по протоколу SSL также может понадобиться перекрестный сертификат Интернета. Например, подключение к https://www.verisign.com производится по протоколу SSL, о чем свидетельствует буква "S" после HTTP. Для подключения к SSL-узлам необходим перекрестный сертификат Интернета.
Если предпринимается попытка подключиться по протоколу SSL к защищенному Web-узлу при помощи браузера Notes, на экране может появиться сообщение о необходимости создания перекрестного сертификата "на ходу". Если такое сообщение не выводится, перекрестный сертификат нужно загрузить.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Выберите параметр "Дополнительные сведения о пользователе/службе" и нажмите кнопку "Получить сертификат службы Интернета".
Введите адрес Web-узла, защищенного тем же АС, у которого запрашивается сертификат. Например: www.ibm.com.
В поле "Протокол" выберите тип протокола, используемого для подключения к серверу. Сервер должен поддерживать соединения по указанному протоколу и порту. Обычно можно оставить в полях значения, используемые по умолчанию.Примечание После того как получен перекрестный сертификат Интернета, его можно использовать для безопасного подключения SSL с использованием любого протокола.
Нажмите кнопку "Подключить".
Выполните одно из следующих действий.
Чтобы принять запрошенный перекрестный сертификат Интернета, нажмите в диалоговом окне "Заверение службы" кнопку ОК.
Чтобы просмотреть список прочих перекрестных сертификатов, которые также можно принять, в частности, например, сертификат самого АС, нажмите кнопку "Дополнительные свойства". Нажмите кнопку "Заверить данный сертификат".
(Необязательно.) Чтобы получить дополнительные сведения о сертификате, нажмите кнопку "Сведения о сертификате", "Дополнительные сведения" или "Дополнительные свойства" в окне "Заверение службы" или "Заверение сертификата".
При возникновении трудностей с получением перекрестного сертификата проверьте параметры настройки прокси-сервера в документе описания места вызова личной адресной книги.
Таблица управления доступом
Каждая база данных имеет таблицу управления доступом (ТУД), предназначенную для определения уровней доступа пользователей и серверов. Уровни доступа, назначенные пользователям, определяют круг задач, выполняемых этими пользователями в базе данных. Уровни доступа, назначенные серверам, определяют круг сведений в базе данных, реплицируемых этими серверами.
Изменять таблицу управления доступом может только пользователь с доступом на уровне управляющего. Разработчик и управляющий базы данных могут создать одну или несколько ролей, позволяющих уточнить круг доступа к отдельным представлениям, формам, разделам и полям базы данных. Дополнительные сведения по использованию таблицы управления доступом в базах данных, управляемых или создаваемых пользователем, см. в справке Lotus Domino Designer 6.
Таблица управления доступом относятся только к базам данных, находящимся на серверах, но не к локальным БД. Если в локальную базу данных вносится изменение, и выполняется ее репликация на сервер, репликация проводится в соответствии с уровнем доступа, определенным для пользователя в таблице управления доступом на сервере. Например, если при наличии доступа на уровне читателя к базе данных на сервере в локальную реплику базы данных добавляются новые документы, эти документы не будут добавлены в базу данных на сервере при последующей репликации. Доступ на уровне читателя не позволяет создавать новые документы. При этом, однако, разработчик базы данных может обеспечить согласованность таблицы управления доступом для всех реплик, чтобы ТУД использовали даже локальные базы данных.
Чтобы просмотреть ТУД базы данных, откройте базу данных и выберите команду: Файл - База данных - Управление доступом. Выберите в списке пользователя или сервер, чтобы узнать назначенный ему уровень доступа. Чтобы увидеть всех пользователей или все серверы, имеющие определенный уровень доступа в ТУД, выберите этот уровень в раскрывающемся списке "Пользователи, серверы, группы".
Уровни доступа для базы данных
Чтобы изменить уровень доступа пользователя, необходимо наличие доступа к базе данных на уровне управляющего.
| Уровень доступа
| Действия
| Назначение
|
|---|
| Управляющий |
Удаление базы данных
Шифрование базы данных
Изменение параметров репликации
Изменение ТУД базы данных
Выполнение всех задач, разрешенных для более низких уровней доступа
|
Пользователи, ответственные за эту базу данных. Если один пользователь отсутствует, базой данных может управлять другой. |
| Разработчик |
Создание полного индекса
Изменение всех элементов структуры базы данных (полей, форм, представлений, общих агентов, значка базы данных, документов "О базе данных" и "Работа с базой данных")
Выполнение всех задач, разрешенных для более низких уровней доступа
|
Разработчик базы данных и (или) пользователь, ответственный за будущие обновления структуры. |
| редактор; |
Создание документов
Изменение всех документов, включая созданные другими пользователями
Чтение всех документов, если в форме нет поля "Читатели" (документ нельзя изменить, если его нельзя прочитать)
|
Любой пользователь, которому разрешено создание и изменение документов в базе данных. |
| АвторПримечание Доступ на уровне автора по умолчанию не включает доступ для создания документов. При назначении пользователю или серверу доступа "Автор" необходимо также назначить ему доступ "Создание документов".
|
Создание документов
Изменение документов, имеющих поле "Авторы", в котором указан данный пользователь
Чтение всех документов, если в форме нет поля "Читатели"
|
Пользователи, которым требуется добавлять документы в базу данных.
Для снижения вероятности конфликтов репликации и сохранения рекомендуется, по возможности, назначать доступ на уровне автора, а не редактора. |
| читатель.Примечание Доступ на уровне читателя дает возможность чтения документов, если в форме нет поля "Читатели". В этом случае можно читать только те документы, в которых имя данного пользователя указано в поле "Читатели".
|
Чтение документов |
Пользователи, которым требуется чтение документов в базе данных. Создание и изменение документов запрещено. |
| Корреспондент |
Создание документов |
Пользователи, которым требуется только добавление документов, но не требуется чтение и изменение собственных и чужих документов. Например, уровень доступа "Корреспондент" удобен для приложений голосования. |
| нет доступа |
Только чтение общих документов и запись общих документов |
Пользователи с ограниченным доступом, которым не требуется доступ к базе данных, либо пользователи, не имеющие особого доступа. Сюда относятся также пользователи, которым не требуется доступ, но которые входят в группу, имеющую доступ.
Это уровень следует назначать по умолчанию, чтобы предотвратить доступ посторонних лиц в закрытую базу данных. |
Дополнительные права в списке управления доступом
Пользователь, имеющий доступ к базе данных на уровне управляющего, может выбирать уровень доступа для каждого лица, группы и сервера, а также при необходимости ограничивать или расширять доступ, выбирая или отменяя дополнительные права внутри уровня доступа. В зависимости от уровня доступа некоторые из следующих дополнительных прав можно выбрать или исключить при предоставлении пользователю доступа к базе данных.
| Необязательная привилегия
| Условия использования
|
|---|
| Создание документов |
Установите этот флажок для всех пользователей с доступом "Автор".
Снимите этот флажок, чтобы запретить авторам добавлять новые документы. Они все равно смогут читать и изменять уже созданные собственные документы. |
| Удаление документов |
Снимите этот флажок, если требуется запретить пользователю удалять документы независимо от уровня его доступа. Авторы могут удалять только документы, которые создали они сами. Если документ содержит поле "Авторы", автор может удалять документы, только если это поле содержит его имя либо группы или роли, его включающие. |
| Создание личных агентов |
Пользователи могут запускать агенты, которые выполняют задачи, допускаемые заданным пользователем уровнем доступа, только в ТУД. Личные агенты в базах данных на сервере занимают место на диске и время для обработки на сервере, поэтому в некоторых случаях следует снимать этот флажок, чтобы запретить пользователям создавать личные агенты.Примечание Разрешение и запрет на запуск пользователями агентов зависит от набора доступа, заданного администратором Domino в разделе "Ограничения для агентов" документа сервера в справочнике Domino. Если установить в ТУД флажок "Создание агентов LotusScript/Java" для имени, возможность запуска пользователем агентов на сервере будет определяться документом сервера.
|
| Создание личных папок |
Безопасность личных папок и представлений, созданных на сервере, выше, чем папок и представлений, созданных локально, поскольку они доступны на нескольких серверах. Административные агенты могут применяться только к папкам и представлениям, хранящимся на сервере.
Снимите этот флажок, чтобы запретить пользователям создавать папки и представления на сервере, что позволит сэкономить место на сервере. При этом пользователи все равно смогут создавать папки и представления локально. |
| Создание общих папок |
Снимите этот флажок, чтобы установить более строгое управление структурой базы данных. В противном случае пользователь, имеющий эту привилегию, сможет создавать папки и представления, видимые для других. |
| Создание агентов LotusScript/Java |
Агенты LotusScript и Java в базах данных на сервере могут отнимать значительное время обработки у процессора, поэтому может потребоваться запрет на их запуск пользователем.Примечание Разрешение и запрет на запуск пользователями агентов зависит от набора доступа, заданного администратором Domino в разделе "Ограничения для агентов" документа сервера в справочнике Domino. Если установить в ТУД флажок "Создание агентов LotusScript/Java" для имени, возможность запуска пользователем агентов на сервере будет определяться документом сервера.
|
| Чтение общих документов |
Установите этот флажок, чтобы разрешить пользователям чтение документов и просмотр представлений и папок с режимом доступа "Доступ для пользователей с доступом к общим документам" на вкладке "Безопасность" диалоговых окон "Формы", "Представления" и "Свойства папок". Этот флажок позволяет давать пользователям с доступом "Нет доступа" и "Корреспондент" возможность просмотра определенных документов, форм, представлений и папок, не наделяя его правом доступа "Читатель". Кроме того, документы, которые требуется сделать общедоступными, должны содержать поле $PublicAccess. Поле $PublicAccess должно быть текстовым и иметь значение "1".
Сведения о применении этой привилегии к почтовым шаблонам и о создании представление и агентов см. в справке Lotus Domino Designer 6. |
| Запись общих документов |
Установите этот флажок, чтобы разрешить пользователям создавать и изменять документы с помощью форм, имеющих режимом доступа "Доступ для пользователей с доступом к общим документам" на вкладке "Безопасность" диалогового окна "Свойства формы". Этот флажок позволяет давать пользователям право на создание и изменение определенных документов без наделения их правом доступа "Автор" или другой аналогичной роли, а также дает пользователям право на создание документов из любой формы базы данных. |
| Репликация или копирование документов |
Установите этот флажок, чтобы разрешить пользователям репликацию и копирование этой базы данных и ее документов на локальный компьютер и в буфер обмена. |
Чтобы добавить пользователя в таблицу управления доступом и задать уровень доступа
Чтобы назначить уровень доступа пользователю, необходимо наличие доступа к базе данных на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Основные", а затем нажмите кнопку "Добавить".
Введите имя пользователя, сервера или группы, которым предоставляется доступ, а затем нажмите кнопку ОК.Совет Щелкните значок пользователя и выберите имя в адресной книге.
Убедитесь, что только что добавленный пользователь выбран в с писке пользователей, а затем в списке "Тип" выберите, является ли он человеком, сервером или группой.
Выберите в списке "Доступ" уровень доступа, который нужно назначить пользователю.
Повторите шаги 3--6, чтобы назначить уровни доступа другим именам.
Примечание Во всех таблицах управления доступом должен быть хотя бы один пользователь, которому назначен доступ на уровне управляющего.
Чтобы переименовать пользователя в таблице управления доступом
Можно переименовать пользователя в таблице управления доступом, если необходимо заменить одно имя пользователя другим.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Основные", а затем в таблице управления доступом выделите пользователя, которого требуется переименовать.
Нажмите кнопку "Переименовать" и введите другое имя пользователя.
Чтобы удалить пользователя из таблицы управления доступом
Чтобы удалить пользователя из таблицы управления доступом, требуется доступ к базе данных на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Основные", а затем в таблице управления доступом выделите пользователя, которого требуется удалить.
Нажмите кнопку "Удалить".
Создание ролей и управление ими
Роли используются для определения групп в базе данных. Можно назначать пользователей и группы ролям, чтобы определить доступ к определенным представления, формам, документам или разделам. Вместо того чтобы назначать доступ определенному пользователю или группе, можно назначить доступ роли, к которой принадлежит этот пользователь или группа. Например, можно использовать роль, дающую доступ к документам с формами, содержащими определенное значение. Только пользователи и группы, которым назначена эта роль, смогут просматривать такие документы.
Прежде чем назначить роль имени в ТУД, необходимо ее создать. Для определения роли необходима координация управляющего и разработчика базы данных для выяснения необходимости роли и определения пользователей, групп и серверов, которым будет назначена эта роль.
Для создания, управления и просмотра ролей необходим доступ на уровне управляющего к ТУД базы данных. Дополнительные сведения по определению ролей пользователей см. в разделе Roles in the ACL справки Lotus Domino Designer 6. Можно также перейти в библиотеку документации на Web-узле Lotus Developer Domain для загрузки или просмотра справочной базы данных Lotus Domino Designer 6.
Примечание Если у вас нет прав на изменение ТУД, вкладка "Роли" не отображается.
Чтобы создать роль
Убедитесь, что в ТУД базы данных у вас имеется доступ на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Роли".
Нажмите кнопку "Добавить" и введите имя для роли.
Чтобы переименовать роль
Убедитесь, что в ТУД базы данных у вас имеется доступ на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Роли".
Выберите роль в списке "Роли" и нажмите кнопку "Переименовать".
Введите новое имя для роли.
Чтобы удалить роль
Убедитесь, что в ТУД базы данных у вас имеется доступ на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Роли".
Выберите роль в списке "Роли" и нажмите кнопку Удалить.
Чтобы назначить роль пользователю
Выберите команду: Файл - База данных - Управление доступом.
Щелкните ссылку "Основные".
Выберите имя пользователя или сервера в таблице управления доступом, выберите роль в поле "Роли" в правой части таблицы управления доступом. Рядом с ролями, которым назначен пользователь или сервер, появляется галочка.
Чтобы отменить назначение роли пользователю
Выберите команду: Файл - База данных - Управление доступом.
Щелкните ссылку "Основные".
Выберите имя пользователя или сервера в таблице управления доступом и снимите галочку рядом с ролью, назначение которой пользователю или серверу необходимо отменить.
Чтобы просмотреть журнал изменений, выполненных в таблице управления доступом
При наличии доступа к базе данных на уровне управляющего можно просмотреть хронологический список изменений таблицы управления доступом (ТУД) в любой реплике базы данных. Каждая запись содержит следующие сведения: дату и время изменения; имя лица, внесшего изменение; что было изменено. В списке содержится только 20 строк изменений, а не все изменения.
Для просмотра журнала ТУД необходим доступ на уровне управляющего.
Откройте базу данных, которую требуется проверить.
Выберите команду: Файл - База данных - Управление доступом.
Нажмите кнопку "Журнал" и выберите строку журнала изменений. Весь текст журнала изменений отображается в поле в нижней части диалогового окна.
(Необязательно.) Нажмите кнопку "Копировать", чтобы скопировать журнал изменений в буфер обмена, а затем вставить его содержимое в документ.
Дополнительные параметры в таблице управления доступом
Открыв базу данных, выберите команду: Файл - База данных - Управление доступом, затем откройте вкладку "Дополнительно". На ней можно определить сервер административного процесса, выбрать использование согласованной таблицы управления доступом (ТУД) для всех реплик базы данных, задать поиск в таблице управления доступом типов пользователей для незаданных пользователей, а также задать максимальное имя и пароль для пользователей Интернета.
Выберите раздел:
Чтобы определить административный сервер для базы данных
Обеспечение согласованности таблицы управления доступом
Предельный уровень доступа через Интернет
Чтобы задать тип пользователя, если он не определен ранее
Включение расширенного доступа Расширенный доступ представляет собой дополнительный доступ только для баз данных "Справочник Domino" и "Расширенный каталог справочников". Включите расширенный доступ, чтобы использовать расширенную таблицу управления доступом для ограничения доступа к фрагментам содержимого базы данных. Прежде чем включить средство расширенного доступа, ознакомьтесь со сведениями по расширенным таблицам управления доступом, если у
становлена справочная база данных Lotus Domino Administrator 6. Можно также перейти в библиотеку документации на Web-узле Lotus Developer Domain для загрузки или просмотра справочной базы данных Lotus Domino Administrator 6.
Ограничение доступа к локальным базам данных
Создаваемую на жестком диске локальную базу данных или локальную реплику можно зашифровать, чтобы другие пользователи не могли просматривать эту базу данных. Рекомендуется шифровать локальные базы данных, если они хранятся на переносном компьютере или если на компьютере работает несколько пользователей.
При организации локальной защиты для базы данных, к которой у пользователя имеется доступ на уровне управляющего, Notes выполняет шифрование при помощи общего ключа из учетной записи. Расшифровать базу данных после этого сможет только тот же самый пользователь, поскольку только в его учетной записи имеется соответствующий личный ключ. Никакие другие учетные записи базу открыть не позволят.
Примечание Объем дискового пространства, занимаемого базами данных, для которых задано среднее или сильное шифрование, при использовании программы для уплотнения диска уменьшается незначительно.
Чтобы шифровать локальные базы данных при создании
Notes позволяет установить режим автоматического шифрования создаваемых локальных баз данных.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "БД".
Выберите параметр "Шифровать локально, используя..." и один из перечисленных ниже уровней.
Простое шифрование предоставляет защиту от простого взлома.
Среднее шифрование предоставляет наилучший баланс между безопасностью, уровнем защиты и высокой скоростью доступа к базе данных. Этот уровень подходит большинству пользователей.
Сильное шифрование следует применять только при доминировании требований к безопасности, если при этом скорость доступа остается приемлемой.
Совет Чтобы отключить шифрование локальных баз данных, выберите режим "Не шифровать локально".
Чтобы зашифровать существующие локальные базы данных
Откройте локальную базу данных.
Выберите команду: Файл - База данных - Свойства.
Откройте вкладку "Сведения о БД" и нажмите кнопку "Шифрование".
Выберите параметр "Производить локальное шифрование" и один из перечисленных ниже уровней.
Простое шифрование предоставляет защиту от простого взлома.
Среднее шифрование предоставляет наилучший баланс между безопасностью, уровнем защиты и высокой скоростью доступа к базе данных. Этот уровень подходит большинству пользователей.
Сильное шифрование следует применять только при доминировании требований к безопасности, если при этом скорость доступа остается приемлемой.
(Необязательно.) По умолчанию открыть зашифрованную базу данных позволит только учетная запись пользователя, выполнившего шифрование. Если необходимо предоставить доступ к базе данных другому пользователю, нажмите кнопку "Для" и выберите адресную книгу и этого пользователя.
Предупреждение Если доступ к базе данных предоставляется другому пользователю, пользователь, изначально имеющий доступ, потеряет его.
Совет Чтобы отключить шифрование локальных баз данных, выберите режим "Не шифровать локально".
Защита отдельных документов от чтения или просмотра другими пользователями
Пользователь может защитить свои документы так, чтобы их могли просматривать только он и назначенные им лица, даже если другие лица имеют доступ к базе данных, содержащей эти документы.
Документы также можно шифровать с помощью секретных ключей и общих ключей.
Откройте документ, доступ к которому требуется ограничить.
Выберите команду: Файл - Свойства документа.
Откройте вкладку "Безопасность" (четвертая слева).
Снимите флажок "Все пользователи с уровнем доступа читателя и выше".
Не забудьте выбрать себя в списке пользователей, групп, серверов или ролей для документа. Затем выберите других пользователей, группы, серверы и роли, которым требуется доступ к документу (для выбора из личной адресной книги щелкните значок с изображением пользователя рядом со списком). Если пользователь не выберет себя в списке, он потеряет доступ на чтение документа.
Сохраните документ.
Шифрование документов с помощью секретных ключей
Документы, отправляемые в общедоступную базу данных, можно шифровать с помощью секретного шифровального ключа из учетной записи при условии, что все поля документов допускают шифрование. При создании или изменении документа, для которого было включено шифрование, секретный ключ, который требуется использовать, может быть указан в определении формы или выбран пользователем. Расшифровать данные из документа смогут только пользователи, имеющие такой же ключ. Если этот документ откроет лицо, у которого секретного шифровального ключа нет, зашифрованные данные окажутся недоступными.
Поле, допускающее шифрование, распознается по красным квадратным скобкам. Зашифровать можно только данные, расположенные между красными скобками. Все прочие данные остаются открытыми для всех пользователей, имеющих доступ к документу.
Примечание Почтовые документы могут быть зашифрованы, но с использованием другого механизма. Почтовые документы всегда шифруются общим ключом получателей.
Чтобы зашифровать поле документа, необходимо выполнить следующие действия.
Создайте секретный шифровальный ключ.
Вложите секретный шифровальный ключ в документ.
Отправьте шифровальный ключ пользователям, которые будут читать зашифрованные поля.
Примечание Если вы не работаете с почтой Notes, экспортируйте секретный шифровальный ключ, чтобы пользователь, которому он нужен, смог импортировать его в учетную запись.
Чтобы создать секретный шифровальный ключ
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Нажмите кнопку "Создать секретный ключ".
Введите имя ключа в поле "Имя секретного ключа" в окне "Создание нового шифровального ключа".
(Необязательно.) Поместите в поле "Заметки" примечание о назначении ключа.
Если ключ предназначен для пользователя не североамериканской версии Notes, предшествующей 5.0.4, установите флажок "Использовать международное шифрование".
Нажмите кнопку ОК.
Примечание Сведения о шифровании (для Северной Америки и универсальном) см. в разделе Encryption strength справки Lotus Domino Administrator 6 (если она установлена).
Можно также перейти в библиотеку документации на Web-узле Lotus Developer Domain для загрузки или просмотра справочной базы данных Lotus Domino Administrator 6.
Чтобы выбрать секретный шифровальный ключ для документа
Откройте документ, который необходимо зашифровать.
Выберите команду: Файл - Свойства документа.
Откройте вкладку "Безопасность".
Выберите один или несколько созданных вами секретных шифровальных ключей. Если требуется, чтобы документ могли читать пользователи, не имеющие секретного ключа, укажите их в поле "Общие шифровальные ключи" в разделе "Шифровальные ключи".
Сохраните документ.
Чтобы отправить секретный шифровальный ключ по почте
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите отправляемый ключ в столбце "Имя секретного ключа".
Нажмите кнопку "Отправить секретный ключ".
Введите в поле "Кому" имена адресатов, которым отправляется секретный ключ. (Чтобы выбрать имя из личной адресной книги, нажмите кнопку "Адрес".)
В поле "Копия" введите имена пользователей, которые должны знать о факте отправки ключа, но сами его не получат.
Нажмите кнопку "Отправить".
Чтобы получатель секретного шифровального ключа мог передать его другим пользователям, выберите режим "Разрешить всем абонентам пересылку и экспорт данного ключа". Чтобы не отправлять ключ, нажмите кнопку "Отмена".
Принятие и удаление секретных шифровальных ключей
Секретный ключ используется для шифрования документов. Этот же ключ необходим для расшифровки документа, им защищенного. Полученный секретный шифровальный ключ необходимо принять, чтобы получить возможность читать открываемые с его помощью зашифрованные документы. Принятый ключ сохраняется в учетной записи и позволяет читать зашифрованные документы.
Не нужные более секретные шифровальные ключи можно удалить.
Примечание Для тех, кто не работает с почтой Notes, необходимо вначале экспортировать ключ в доступное место, а затем импортировать его в учетную запись.
Чтобы принять секретный шифровальный ключ
Откройте сообщение, в которое вложен секретный шифровальный ключ.
Выберите команду: Действия - Принять шифровальный ключ.
Нажмите кнопку "Принять".
(Рекомендуется.) После принятия ключа создайте архивную копию или обновите имеющиеся копии учетной записи (не относится к роуминг-пользователям, которым архивные копии учетных записей не нужны).
Чтобы удалить секретный шифровальный ключ
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите удаляемый ключ в списке "Имя секретного ключа".
Выберите команду: в правом нижнем углу диалогового окна команды Другие действия - Удаление секретного ключа.
Чтобы подтвердить удаление, нажмите кнопку "Да".
Чтобы экспортировать секретный шифровальный ключ
Если необходимо передать секретный шифровальный ключ кому-либо, не использующему почту Notes, ключ можно передать на гибком диске или через общую папку, чтобы затем его импортировать.
Экспорт секретного ключа также потребуется для отправки пользователю Notes, который для защиты почты использует сертификаты Интернета и предпочитает получать сообщения в формате MIME.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите в списке "Имя секретного ключа" шифровальный ключ для экспорта.
Выберите команду: Другие действия - Экспорт секретного ключа.
(Необязательно.) Чтобы защитить секретный шифровальный ключ паролем, укажите этот пароль в одноименном поле и подтвердите его в поле "Подтверждение". Если защищать шифровальный ключ паролем не требуется, нажмите кнопку "Без пароля".
(Необязательно.) Если доступ к секретному ключу должен иметь единственный конкретный пользователь, нажмите кнопку "Ограничить использование" и введите составное имя этого пользователя. Чтобы выбранный человек мог передавать ключ третьим лицам, выберите режим "Разрешить этому пользователю пересылку и экспорт ключа".
Укажите каталог и файл для экспорта секретного шифровального ключа и нажмите кнопку "Сохранить".
Чтобы импортировать секретный шифровальный ключ
Чтобы начать использовать экспортированный кем-либо секретный шифровальный ключ, необходимо импортировать его в учетную запись.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите команду: Другие действия - Импорт секретного ключа.
Укажите каталог и файл с секретным шифровальным ключом, а затем нажмите кнопку "Открыть".
Нажмите кнопку "Принять" в окне "Принятие секретного шифровального ключа".
Как общие и личные ключи используются для шифрования и подписывания почты
При шифровании данных, а также при проверке цифровых подписей Notes использует набор из общего и личного ключей. Оба ключа связаны между собой и являются уникальными для каждой учетной записи. Общий ключ хранится в сертификате Notes. Копии сертификата, в свою очередь, находятся в учетной записи и в справочнике Domino. Личный ключ хранится только в файле учетной записи.
При отправке пользователю зашифрованных данных все остальные используют общий ключ из сертификата, находящегося в справочнике Domino. Для расшифровки таких данных необходим личный ключ из учетной записи.
Различные типы общих и личных ключей
Пара, состоящая из общего и личного ключей, используется в Notes; аналогичные пары ключей имеются также у каждого сертификата Интернета. Ключи Notes необходимы для шифрования данных, которыми обмениваются пользователи Notes. Ключи Интернета используются для отправки и приема почтовых сообщений S/MIME, а также для шифрования SSL-транзакций между Notes и серверами Интернета.
В каждую созданную учетную запись Notes автоматически включены общий и личный ключи. Общий и личный ключи Интернета могут быть добавлены в учетную запись администратором Domino при регистрации либо получены позднее.
Чтобы просмотреть сертификаты, находящиеся в учетной записи, выберите команду: Файл - Безопасность - Безопасность пользователя, а затем откройте вкладку "Идентификация - Сертификаты" и выберите в раскрывающемся списке значение "Все сертификаты". В окне появится список всех сертификатов и сохраненных ключей (ключи, соответствующие удаленным сертификатам, которые могут потребоваться для расшифровки данных).
Как работает набор из общего и личного ключей?
Общий ключ доступен всем и может использоваться для отправки пользователю зашифрованной почты и для проверки подлинности.
Входящие почтовые сообщения шифруются при помощи общего ключа, а расшифровываются при помощи личного ключа. Цифровая подпись в почтовых сообщениях ставится при помощи личного ключа, а проверяется при помощи общего ключа. Любые данные, зашифрованные при помощи общего ключа пользователя, необходимо расшифровывать при помощи его личного ключа, и наоборот. Личный ключ пользователя, однако, является секретным. В то время как общий ключ доступен всем, личный ключ недоступен никому, кроме вас.
Шифрование и подписывание сообщений электронной почты
При желании в Notes нетрудно установить режим подписывания и шифрования всех сообщений электронной почты, отправляемых пользователям Notes или через Интернет, что позволит не устанавливать этот параметр вручную. Цифровые подписи представляют собой электронные эквиваленты обычных подписей, но их сложнее подделать. Цифровая подпись в Notes создается при помощи личного ключа, а затем проверяется при помощи общего ключа. Если в сообщение электронной почты вложена цифровая подпись, составное имя отправителя отображается в строке состояния получателя, указывая таким образом, что сообщение отправлено с помощью учетной записи.
Для шифрования и подписывания сообщений, отправляемых через Интернет, необходимо наличие сертификата Интернета.
При работе с папкой исходящих сообщений в автономном режиме исходящую и входящую почту можно также шифровать, если в организации используется каталог справочников для работы в удаленном режиме.
Примечание Обычно в качестве подписи служит имя пользователя с рисунком или сведения об отделе, которые отображаются в основном тексте сообщения. Этот тип подписи ничего общего с цифровой подписью не имеет.
Чтобы подписывать исходящие почтовые сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "Подписывать исходящую почту" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Чтобы шифровать исходящие почтовые сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "Шифровать исходящую почту" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Чтобы шифровать сохраненные почтовые сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "Шифровать сохраненные копии отправленных сообщений" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Чтобы шифровать незашифрованные входящие сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "При получении незашифрованного сообщения зашифровать его перед сохранением в почтовом файле" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Примечание При отсутствии доступа на уровне автора к личной учетной записи в справочнике Domino этот флажок недоступен. В этом случае обратитесь к администратору.
Создание новых общих ключей
Если учетная запись утеряна, или кто-то воспользовался ее для доступа к данным пользователя, необходимо изменить пароль и создать новый общий ключ (новый многоцелевой сертификат Notes и новый универсальный сертификат для шифрования). Общий ключ находится в сертификате, хранящемся в учетной записи и справочнике Domino, и используется для шифрования отправляемых пользователю данных. Если другое лицо получило доступ к учетной записи пользователя, личного ключ из нее позволит при желании расшифровать зашифрованные данные. Создание нового общего ключа позволит защитить данные, которые должны быть доступны только самому пользователю. Наличие нового ключа не устраняет опасность прочтения данных, зашифрованных с помощью старых ключей, любым лицом, завладевшим учетной записью. Однако к данным, зашифрованным с помощью нового ключа, это не относится.
Ключ также используется для создания цифровой подписи при подписывании почтовых сообщений и других документов Notes. Если учетная запись была украдена, необходимо сразу же получить новый ключ, позволяющий Notes создать новую цифровую подпись. Все остальные смогут проверить подпись с помощью нового общего ключа, который подтвердит, что сообщение исходит именно от вас, а не от лица, завладевшего вашей учетной записью.
При запросе новых общих ключей Notes создает для пользователя общий ключ и личный ключ; новый общий ключ также отправляется администратору в почтовом сообщении. На его основе администратор создает для пользователя новые сертификаты, содержащие новые личные ключи. (Каждый из сертификатов содержит новый ключ и срок его действия. Все остальные параметры, включая имя пользователя, остаются теми же самыми.) Отправленный администратором пользователю сертификат с новыми общими ключами добавляется в учетную запись.
Примечание При работе с простой учетной записью создать новый общий ключ самостоятельно нельзя. Вместо этого следует запросить новые простые сертификаты Notes.
Чтобы создать новый общий ключ
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность", а затем нажмите кнопку "Безопасность пароля нарушена" в разделе "Настройка подключения и пароля".
Нажмите кнопку "Создать общие ключи" в окне "Что делать, если безопасность вашего пароля была нарушена".
Если общие ключи уже были отправлены, и необходимо отправить их новый набор, придется нажать кнопку "Новый набор". Если общие ключи уже были отправлены, и необходимо отправить их заново, придется нажать кнопку "Отправить заново".
Нажмите кнопку "Далее".
Введите имя администратора Domino в поле "Кому" и отправьте учетную запись по почте вместе с новыми общими ключами. (Чтобы выбрать имя из личной адресной книги, нажмите кнопку "Адрес".) Если это имя доступно, при подключении к сети оно само появится в поле "Кому".
Нажмите кнопку "Отправить".
Когда администратор пришлет по почте новый сертификат, откройте сообщение и выберите команду: Действия - Принять сертификат.
Примечание Сразу же после начала процедуры создания новых общих ключей, Notes помечает запрошенные ключи как "ждущие", так как требуется вмешательство администратора. После того как ключи будут заверены администратором, а также получены и приняты пользователем, ждущие ключи превращаются в текущие. Набор старых ключей в учетной записи Notes сохраняется, что позволяет расшифровывать сообщения, зашифрованные с их помощью. Чтобы просмотреть сохраненные ключи, выберите команду: Файл - Безопасность - Безопасность пользователя, а затем откройте вкладку "Идентификация - Сертификаты" и выберите в раскрывающемся списке "Сохраненные ключи Notes".
Чтобы запросить новый общий ключ с помощью гибкого диска или с другого почтового приложения
Чтобы запросить общий ключ по почте или через гибкий диск, необходимо создать защищенную копию учетной записи и отправить ее администратору. Сведений, содержащихся в защищенной копии, достаточно для заверения новых ключей, но недостаточно для злонамеренного использования. Данный способ нужен тем, кто не работает с почтой Notes, либо если попытка запроса ключей по почте Notes окончилась неудачно.
Если используется гибкий диск, вставьте его в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность", а затем нажмите кнопку "Безопасность пароля нарушена" в разделе "Настройка подключения и пароля".
Нажмите кнопку "Создать общие ключи" в окне "Что делать, если безопасность вашего пароля была нарушена".
Если общие ключи уже были отправлены, и необходимо отправить их новый набор, придется нажать кнопку "Новый набор". Если общие ключи уже были отправлены, и необходимо отправить их заново, придется нажать кнопку "Отправить заново".
Нажмите кнопку "Экспорт учетной записи" в окне "Подтверждение новых общих ключей".
Выберите папку на гибком диске или папку, к которой имеется доступ из почтовой программы, в окне "Имя защищенной копии учетной записи".
Перейдите на дисковод, в который вставлен гибкий диск.
Введите имя файла защищенной копии учетной записи пользователя в поле "Имя файла" (пользователи Macintosh - в поле "Save As"). По умолчанию он называется SAFE.ID
Нажмите кнопку "Сохранить" и закройте окно "Подтверждение новых общих ключей".
Передайте гибкий диск администратору Domino или вложите защищенную копию учетной записи в почтовое сообщение и отправьте его администратору.
После получения диска обратно необходимо импортировать общий ключ в учетную запись.
Чтобы заново отправить администратору запрос на новый общий ключ
After having sent an initial request for new public keys, If you haven't received an e-mail from your administrator containing your new certificates, or if you need to resubmit a new request to your administrator, you can resubmit the same request you made to get a new public key. Повторная отправка имеющегося запроса целесообразна, если нельзя исключить, что администратор уже начал обрабатывать предыдущий запрос. Повторный запрос послужит напоминанием администратору. Если же вместо него отправить новый запрос, любая уже проделанная администратором работа потеряет смысл.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В раскрывающемся списке выберите значение "Ваши сертификаты Notes".
Выберите ждущий ключ для отправки администратору и выберите команду: Дополнительные действия - Повторить запрос на заверение ждущих ключей.
При работе с почтой Notes выполните шаги 4--8 процедуры Чтобы создать новый общий ключ.
Если используется гибкий диск или другая почтовая программа, выполните шаги 5--12 процедуры Чтобы запросить новый общий ключ с помощью гибкого диска или с другого почтового приложения.
Передача своего сертификата Notes другим пользователям
Опубликование содержащего общие ключи сертификата позволит другим пользователям шифровать отправляемые пользователю данные. Сертификат можно опубликовать в справочнике Domino или отправить конкретным лицам, которые поместят их в свои личные адресные книги. Способ публикации общего ключа зависит от того, используете ли вы почту Notes.
Чтобы отправить сертификат по почте
Пользователь почты Notes, которому нужно опубликовать сертификат с общим ключом в справочнике Domino, может отправить сертификат по почте администратору для его последующей публикации. Отправка сертификата администратору другого домена Notes позволит сделать сертификат доступным в справочнике этого домена. Альтернатива состоит в отправке сертификата непосредственно конкретным лицам.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Дополнительные действия - Копировать или отправить по почте сертификат (общий ключ).
Нажмите кнопку "Отправить сертификат".
В поле "Кому" введите имя администратора или конкретного пользователя (чтобы выбрать его из личной адресной книги, нажмите кнопку "Адрес").
(Необязательно.) Чтобы защитить почтовое сообщение, содержащее общий ключ, установите флажки "Подписать" и "Шифровать".
Нажмите кнопку "Отправить".
Чтобы скопировать сертификат на гибкий диск
Если человеку, не работающему с почтой Notes, нужно опубликовать сертификат с общим ключом в справочнике Domino, сертификат следует скопировать на гибкий диск и передать администратору для последующей публикации. Можно также передать гибкий диск непосредственно конечному пользователю.
Вставьте гибкий диск в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Дополнительные действия - Копировать или отправить по почте сертификат (общий ключ).
Нажмите кнопку "Копировать сертификат", чтобы скопировать ключ в буфер обмена операционной системы.
Нажмите кнопку ОК.
Отобразите содержимое буфера обмена.
Сохраните сертификат в файле на гибком диске.
Передайте дискету с сертификатом одному или нескольким администраторам Domino или конкретным пользователям.
Чтобы удалить ждущие общие ключи Notes
Ненужные ждущие ключи Notes можно из учетной записи удалить. Сами такие ключи появляются при запросе новых общих ключей Notes. Если решение об обновлении сертификатов с помощью новых ключей было отменено, ждущие ключи Notes оказываются лишними. Так как они заведомо не могли быть использованы, их удаление ничем не грозит если, конечно, запрос новых ключей не следует продолжить.
При удалении сохраненного ключа реально удаляется сразу пара ключей: для Северной Америки и универсальный.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В раскрывающемся списке выберите значение "Ваши сертификаты Notes".
Выберите удаляемый ждущий ключ и выберите команду: "Дополнительные действия - Удалить из файла учетной записи".
Ограничение доступа на выполнение с помощью таблицы управления действиями
Для защиты рабочей станции можно указать различные уровни доступа на выполнение для различных пользователей или других держателей сертификатов, выполняющих программы и формулы Notes. Так, например, имеется возможность предоставить полные права доступа администратору Domino, ограничив при этом доступ на выполнение анонимных макросов и формул.
По умолчанию подписанные и анонимные защищенные операции для программ, кодов и формул, не указанные в таблице управления действиями, не могут быть выполнены на рабочей станции без отображения диалогового окна Оповещение системы защиты. Однако программы и формулы запускаются из любых баз данных, созданных с помощью стандартных шаблонов Notes и подписанных "Lotus Notes Template Development/Lotus Notes". Эта подпись по умолчанию имеет полный доступ на выполнение, но ее запись можно изменить или ограничить в ТУДв.
Примечание Чтобы просмотреть журнал оповещений системы защиты и изменений ТУДв, откройте представление "Различные события" в журнале Notes (log.nsf).
Чтобы изменить таблицу управления действиями
Если администратор не ограничил возможность внесения изменений в таблицу управления действиями, можно изменить свою таблицу, чтобы ограничить доступ на рабочую станцию. Можно ограничить или расширить доступ к подписанным Java-программам, приложениям JavaScript и LotusScript.
Примечание Возможность администратора обновлять таблицу управления действиями управляется самой ТУДв. Если на вкладке "Действия других - Использование рабочей станции" окна "Безопасность пользователя" снят флажок "Изменение вашей ТУД", динамическое обновление администратора приведет к оповещению системы защиты. Если запретить это обновление в ТУДв, действие, которое администратор попытается изменить в ТУДв, не будет изменено. За дополнительными сведениями обратитесь к администратору.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Действия других", затем откройте вкладку "Использование рабочей станции", "Использование Java-программ" или "Использование JavaScript".
(Необязательно.) Чтобы добавить элемент в список "Для n, подписанного ", нажмите кнопку "Добавить", введите имя пользователя или держателя сертификата, например /Acme. (Щелкните значок пользователя и выберите имя из личной адресной книги.) Затем нажмите кнопку ОК. Затем можно определить уровень доступа для этого элемента.
(Необязательно.) Чтобы изменить элемент списка "Для n, подписанного" или ввести новое имя, выделите его и нажмите кнопку "Переименовать". Чтобы удалить элемент из списка; нажмите кнопку "Удалить". Затем нажмите кнопку OK.
Выберите пользователя или другого держателя сертификата, для которого требуется задать доступ.
Установите флажки типов доступа, которые требуется предоставить данному держателю сертификата.
Совет При совместном использовании компьютера каждый пользователь может настроить собственную таблицу управления действиями. Таблица управления действиями для каждой учетной записи пользователя уникальна.
Чтобы инициализировать таблицу управления действиями в соответствии с настройкой администратора
Пользователь может инициализировать таблицы управления действиями в соответствии с предоставленной ему настройкой администратора.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Действия других", а затем откройте вкладку "Использование рабочей станции", "Использование Java-программ" или "Использование JavaScript".
Нажмите кнопку "Обновить все".
Параметры безопасности таблицы управления действиями
В Notes можно задавать параметры безопасности для следующих трех объектов.
Безопасность рабочей станции
Java-программа
JavaScript
Параметры безопасности рабочей станции
Выберите нужные из следующих прав доступа при определении доступа к данным на рабочей станции для активного содержимого, такого как базы данных Notes.
| Разрешить доступ к объектам
| Если разрешен, формулам и программам разрешено
|
|---|
| Файловая система |
Вложение, извлечение, чтение и запись из файлов рабочей станции. |
| Внешнее приложение |
Запуск классов LotusScript и библиотек DLL, неизвестных Notes. |
| Текущая БД |
Чтение и изменение текущей базы данных. |
| Переменные среды |
Использование переменных @SetEnvironment и @GetEnvironment, а также методов LotusScript для доступа к файлу NOTES.INI. |
| Сеть |
Привязка и принятие подключений через порты вне диапазона 0 - 1024 и установка подключений к другим серверам. |
| Внешние программы |
Доступ к другим приложениям, включая активацию любого объекта OLE. |
| Базы данных, созданные вне Notes; |
Использование @DBLookup, @DBColumn и @DBCommand для доступа к базам данных, когда первый параметр этих @-функций является драйвером базы данных другого приложения. |
| Разрешить действия |
Если разрешен, формулам и программам разрешено |
| Отправка почты |
Использование функций, таких как @MailSend, для отправки почты. |
| Чтение других БД |
Чтение сведений из других баз данных. |
| Изменение вашей ТУД |
Изменение ТУДв. |
| Экспорт данных |
Печать, копирование в буфер обмена, импорт и экспорт данных. |
| Изменение других БД |
Изменение сведений в других базах данных. |
Параметры Java-программы
Выберите нужные из следующих прав доступа при определении доступа к данным на рабочей станции для Java-программ, запускаемых в Notes.
| Разрешить доступ к объектам
| Если разрешен, программам разрешено
|
|---|
| Файловая система |
Чтение и запись файлов в локальной файловой системе. |
| Java-классы Notes |
Загрузка и вызов объектов Domino для Java и CORBA. |
| Сетевые адреса |
Привязка и принятие подключений через порты вне диапазона 0 - 1024 и установка подключений к другим серверам. |
| Печать |
Отправка заданий на печать. |
| Свойства системы |
Чтение свойств системы, таких как параметры цветов и переменные среды. |
| Доступ к буферу обмена и окнам |
Доступ к буферу обмена системы. При этом также отключается сообщение о безопасности, отображаемое в окне верхнего уровня, которое показывает, что окно создано Java-программой. Это сообщение о безопасности напоминает пользователям, чтобы они не вводили конфиденциальные сведения в диалоговое окно, которое, например, может потребовать ввода имени и пароля пользователя. |
| Доступ на уровне процесса |
Создание потоков и групп потоков, ветвление и запуск внешних процессов, загрузка и связь с внешними библиотеками, доступ к закрытым членам классов с использованием отражения ядра Java, а также доступ к очереди событий AWT. |
Параметры JavaScript
Данные права управляют доступом к данным на рабочей станции для программы JavaScript, запускаемой в клиенте Notes, в Notes из или на Web-странице, отображаемой браузером Notes. Эти права не управляют программой JavaScript, запускаемой другими браузерами, включая браузер Microsoft Internet Explorer, даже если браузер внедрен в клиент Notes.
Параметры таблицы управления действиями JavaScript задают возможность (или невозможность) чтения и/или изменения программой JavaScript свойств JavaScript объекта Window. Можно разрешить доступ с возможностью чтения и записи свойств объекта Window. Являясь объектом наивысшего уровня в объектной модели документа JavaScript, объект Window имеет свойства, применяемые ко всему окну. Безопасность доступа к объекту Window обеспечивает безопасность доступа к другим объектам на странице, поскольку программа JavaScript не имеет доступ к объектам, расположенным ниже в иерархии объектной модели, не имея доступа к объекту Window.
Классы объектов Window представлены в следующей таблице.
| Класс объекта окна
| Описание
| По умолчанию
|
|---|
| Исходное окно |
Управление доступом JavaScript к объекту окна на той же странице, что и программа JavaScript. При выборе этого параметра программа JavaScript привязывается непосредственно к объекту исходного окна, поэтому данный параметр ТУДв не действует. |
Разрешить доступ на чтение и запись |
| Другое окно того же узла |
Управление доступом JavaScript к объекту окна на другой странице из программы JavaScript, но со страницы того же узла. Например, программа JavaScript на странице www.lotus.com может обращаться к объекту окна другой страницы www.lotus.com. Это позволяет двум страницам взаимодействовать, если они находятся в одном наборе рамок. |
Разрешить доступ на чтение и запись |
| Другое окно другого узла |
Управление доступом программы JavaScript к объекту окна на другой странице в пределах одного набора рамок другого узла. Например, программа JavaScript на странице www.lotus.com может обращаться к объекту окна страницы любого другого сервера.Примечание Включение этого параметра представляет большую угрозу безопасности, поскольку возможен доступ злонамеренной программы с одной страницы к данным на другой странице.
|
Доступ на чтение и запись запрещен |
Два дополнительных параметра таблицы управления действиями определяют, может ли программа JavaScript, запущенная в клиенте Notes, открывать новую Web-страницу или документ Notes. Можно включить открытый доступ для этих параметров, представленных в следующей таблице.
| Параметр
| Описание
| По умолчанию
|
|---|
| URL на том же узле |
Управление доступом для открытия страницы документа Notes на том же узле, что и программа JavaScript. |
Открытие разрешено |
| URL на другом узле |
Управление доступом для открытия страницы документа Notes на другом узле по отношению к программе JavaScript. |
Открытие запрещено |
Средства безопасности Notes позволяют обеспечить постоянную защиту рабочей области и данных, чтобы доступ к данным пользователя имели только он сам и назначенные им лица.
Средства безопасности данных Notes включают использование единого пароля для Notes и Windows или доступа к серверу Domino через Интернет, отказ от запроса пароля Notes в программах на основе Notes, а также проверку и запрос изменений настройки парольной защиты, установленной администратором. Если пароль забыт, учетную запись можно восстановить с помощью администратора.
Для входа в Notes можно также использовать смарт-карту, сохраняя на ней личные ключи для работы с Интернетом. Если смарт-карта потеряна, учетную запись можно восстановить с помощью администратора.
Шифрование почты с помощью сертификатов Notes и Интернета позволяет исключить прочтения сторонними лицами сообщений даже в случае их перехвата. Использование цифровой подписи гарантирует получателю, что сообщение получено именно от вас, а не от другого лица.
Notes позволяет установить режим, при котором на локальном компьютере выполняется шифрование всех новых реплик созданных баз данных. Более того, можно зашифровывать отдельные документы, чтобы их могли просматривать только те лица, которым отправлен ключ. Пользователь может также накладывать ограничения на действия, выполняемые другими лицами в его клиенте, и регулировать доступ к управляемой им базе данных.
Помимо описанных выше возможностей существуют многие другие средства безопасности Notes. Начиная с этого выпуска большинство средств безопасности, используемых в Notes, объединено в одно диалоговое окно "Безопасность пользователя". Доступ к нему обеспечивается командой: Файл - Безопасность - Безопасность пользователя (для пользователей Macintosh OS X: Notes - Security - User Security).
Учетная запись пользователя Notes и правила ее хранения
Для входа в Notes необходима учетная запись. Учетная запись представляет собой файл, создаваемый администратором и содержащий сведения, необходимые Notes для идентификации пользователя. Файл учетной записи хранится в каталоге Notes/Data и имеет расширение .ID, например JUSER.ID.
Учетная запись содержит имя владельца (обычно это просто имя пользователя), а также сертификаты.
Посмотреть ее содержимое позволяет команда: Файл - Безопасность - Безопасность пользователя (для пользователей Macintosh OS X: Notes - Security - User Security).
Поскольку учетная запись выполняет роль удостоверения личности, ее необходимо хранить в надежном месте, как, например, паспорт или водительские права. Рекомендуется хранить одну копию учетной записи на жестком диске, а другую - на гибком диске, находящемся в другом месте. В этом случае у вас всегда будет резервная копия учетной записи. Наличие копии учетной записи на гибком диске позволяет при необходимости получить доступ к серверу с других рабочих станций Notes.
Отходя от компьютера, необходимо всегда блокировать окно Notes, чтобы защитить данные, доступ к которым предоставляет ваша учетная запись.
Блокировка окна Notes
Блокировка окна Notes позволяет защитить данные на время, когда за компьютером никто не работает, не закрывая при этом рабочие базы данных. Ее рекомендуется выполнять всякий раз, когда приходится отходить от экрана. При блокировке окна Notes выполняется автоматическая очистка экрана, чтобы никто не мог просмотреть находящиеся на нем данные.
Чтобы вручную заблокировать окно Notes
Нажмите клавишу F5 или выберите команду: Файл - Безопасность - Заблокировать экран.Пользователи Macintosh OS X: Notes - Security - Lock Display.
Примечание При работе с набором драйверов смарт-карт версии PKCS#11 V 2.01 или более поздней окно Notes блокируется автоматически при удалении смарт-карты из устройства считывания.
Чтобы задать автоматическую блокировку окна Notes
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность".
В разделе "Настройки отключения" установите флажок "Отключиться (и заблокировать экран Notes) при отсутствии активности в течение n мин" и укажите время (в минутах), по истечении которого должна выполняться блокировка окна Notes.
Чтобы разблокировать окно Notes
Нажмите клавишу ENTER, чтобы вызвать на экран окно ввода пароля (или запрос на ввод PIN-кода при работе со смарт-картой), и введите пароль или PIN-код. После ввода пароля или PIN-кода блокировка окна Notes снимается, а данные снова становятся доступными.
Примечание При работе с набором драйверов смарт-карт версии PKCS#11 V 2.01 или более поздней, если смарт-карта была удалена из устройства считывания, просто вставьте ее обратно и введите PIN-код.
Смена учетных записей
Если компьютер совместно используется несколькими пользователями, а также если у одного пользователя имеется несколько учетных записей, для подключения к почтовому серверу и другим базам данных может понадобиться вначале выбрать нужную учетную запись. Все учетные записи, между которыми можно переключаться, должны храниться на локальном компьютере, на доступном сервере или на гибком диске.
Выберите команду: Файл - Безопасность - Выбрать учетную запись.Пользователи Macintosh OS X: Notes - Security - Switch ID.
Введите путь к файлу учетной записи или выберите в папке учетную запись, на которую необходимо переключиться.
Введите пароль для учетной записи.
Восстановление учетной записи
Если учетная запись пользователя утеряна, повреждена или вы забыли пароль, ее можно восстановить при условии, что администраторами были сохранены необходимые данные. Если вы не уверены, можно ли восстановить учетную запись, обратитесь к администратору.
Если в учетной записи имеются данные для восстановления, причем администратор предусмотрел саму возможность восстановления, Notes в некоторых ситуациях позволяет восстановить испорченную учетную запись. Например, при получении нового общего ключа, смене имени, создании или получении шифровального ключа, а также некоторых других операциях Notes автоматически отправляет зашифрованную резервную копию учетной записи в централизованную базу данных.
Если данные для восстановления учетной записи пользователя уже имеются, перейдите к разделу Чтобы восстановить учетную запись. В противном случае перед восстановлением учетной записи следует сначала подготовить для этого данные.
Чтобы подготовить данные восстановления для учетной записи
Если планируется использовать смарт-карты, то прежде чем разрешить вход в систему по смарт-картам, следует подготовить данные для восстановления.
Обратитесь к администратору и попросите подготовить данные для восстановления вашей учетной записи. Если это возможно, администратор отправит обратно почтовое сообщение с вложенными данными для восстановления.
Откройте сообщение с данными для восстановления.
Выберите команду: Действия - Ввод данных для восстановления.
В окне "Копия учетной записи" нажмите кнопку "Отправить"; при этом исходная копия учетной записи будет отправлена в базу данных для восстановления.
Примечание Использование зашифрованной копии учетной записи Notes невозможно без ее восстановления самим пользователем или администратором Domino.
Чтобы восстановить учетную запись пользователя
Если данные для восстановления учетной записи уже подготовлены администратором, обратитесь к нему с просьбой отправить вам пароли, необходимые для ее восстановления. Пароль восстановления составляется случайным образом и уникален для каждой восстанавливаемой учетной записи и каждого администратора.Примечание При отсутствии доступа к своей учетной записи обратитесь к администратору, который предоставит вам ее зашифрованную копию. Получив эту копию, выполните следующие действия.
После получения паролей для восстановления перезапустите Notes. При первом входе в Notes в диалоговом окне "Пароль" просто нажмите кнопку ОК, не указывая пароль.
В окне "Неправильный пароль" выберите вариант "Восстановить пароль". (Окно "Копия учетной записи" иногда появляется не сразу.)
Выберите нужную учетную запись в окне "Выберите восстанавливаемый файл".
Вводите пароли, предоставленные администратором, до тех пор, пока все пароли не будут указаны. На экране появится запрос на ввод нового пароля для учетной записи.
Введите новый пароль учетной записи пользователя и подтвердите его.Предупреждение Если не ввести новый пароль, учетную запись пользователя придется восстанавливать повторно.
Замените все резервные и используемые копии учетной записи на новую восстановленную учетную запись.
Смена паролей
Пароли предотвращают возможность использования вашей учетной записи другими лицами.При создании учетной записи администратор определяет как необходимость наличия пароля, так и его тип. После первого входа в Notes следует изменить пароль на такой, который вы сможете запомнить, а другие не смогут сразу угадать.
Если администратор задаст срок действия пароля, вам потребуется периодически его менять. Если же срок действия пароля истек до его изменения, старый пароль позволит войти в Notes, однако доступ ко всем серверам будет закрыт. Доступными останутся только локальные базы данных. Для восстановления доступа к серверам необходимо изменить пароль.
Если вход в Notes осуществляется по смарт-карте, пароль для входа указывать не требуется. Вместо этого следует ввести персональный идентификационный номер (PIN) смарт-карты.
Качество защиты пароля и его длина
Пароль может представлять собой произвольную комбинацию вводимых с клавиатуры знаков. При этом система отличает прописные буквы от строчных, а приемлемость пароля зависит от его длины или качества защиты. Требования к паролю задает администратор. Эти требования (длина/качество) появляются в диалоговом окне "Смена пароля".
Если указана длина, пароль обязан содержать заданное число знаков.
Качество определяет уровень защищенности пароля и варьируется в пределах от 0 (минимальное) до 16 (максимальное). Чем выше качество пароля, тем труднее другим его угадать или подобрать.
Чтобы повысить качество защиты пароля, в него следует включить строчные и прописные буквы, цифры и знаки пунктуации. Пароль низкого качества, состоящий, например, из взятых из словаря слов, типичных имен или повторяющихся знаков, может быть отклонен Notes.
Использование пароля в других программах, основанных на Notes
Часто пользователям приходится работать с программами, построенными на основе технологии Notes. Например, это может быть программа, обращающаяся к данным из базы данных Notes. При этом для доступа к данным обычно приходится вводить пароль Notes. В случае, когда само приложение Notes запущено в фоновом режиме, имеет смысл настроить Notes так, чтобы введенный пароль запоминался. При этом для работы с программой, построенной на платформе Notes, его не понадобится вводить несколько раз.
Примечание Если вход в Notes осуществляется по смарт-карте, эта возможность не поддерживается.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность" и установите флажок "Не запрашивать пароль из программ, базирующихся на Notes (снижает безопасность)" в разделе "Настройка подключения и пароля".
Синхронизация пароля Notes и Интернет-пароля для доступа к Domino
Администраторы часто дают пользователям два пароля: собственно пароль Notes и Интернет-пароль для доступа к серверу Domino. Первый из них используется для работы с Lotus Notes, Lotus Domino Designer, Lotus Domino Administrator и другими программами, основанными на платформе Notes, которым требуется для доступа учетная запись пользователя. Интернет-пароль для доступа к серверу Domino нужен для доступа к базам данных Notes из Web-браузера, например при работе с почтой Notes (если она настроена для доступа через браузер) или Web-приложениями для Domino.
Администратор может разрешить синхронизацию паролей Notes и Интернет-доступа к Domino. Это позволяет использовать один пароль для доступа как к Notes, так и к Domino через Интернет.
Если синхронизация паролей администратором не предусмотрена, каждый конкретный пользователь может заблокировать возможность ее включения администратором в будущем.
Примечание Если вход в Notes осуществляется по смарт-карте или учетная запись пользователя защищена несколькими паролями, синхронизация паролей невозможна.
Чтобы синхронизировать пароли Notes и Интернет-доступа к Domino (или отменить их синхронизацию)
Эта процедура доступна, только если синхронизация паролей разрешена администратором. После синхронизации для обоих видов доступа используется пароль Notes.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность".
Установите или снимите флажок "Обеспечить совпадение Интернет-пароля для доступа к Domino и пароля Notes (снижает безопасность)" в разделе "Настройка подключения и пароля". (Этот флажок доступен лишь в случае, когда администратор задействовал возможность синхронизации паролей.)
Чтобы задействовать синхронизацию паролей, повторно установите связь с сервером Notes. В дальнейшем для работы через Web-браузер, клиент Notes или с приложением на основе Notes используйте пароль Notes.
Примечание Синхронизация происходит не мгновенно, время ее выполнения зависит от расписания выполнения административного процесса на сервере.
Чтобы заблокировать возможность разрешения администратором синхронизации пароля Notes и Интернет-доступа к Domino
После выполнения данной процедуры администратор более не сможет разрешить вам синхронизацию паролей. Если в будущем администратору потребуется разрешить синхронизацию, для конкретного пользователя флажок включения синхронизации паролей будет недоступен до тех пор, пока он не активизирует его самостоятельно (см. описанную выше процедуру).
Эта процедура доступна лишь в случае, когда администратор не задействовал возможность синхронизации паролей.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность".
Установите флажок "Не разрешать администратору устанавливать Интернет-пароль для доступа к Domino, совпадающий с паролем Notes" в разделе "Настройка подключения и пароля". (Этот флажок доступен лишь в случае, когда администратор не задействовал возможность синхронизации паролей.)
Синхронизация пароля Windows NT/2000 и пароля Notes
Чтобы синхронизировать пароли Windows NT/2000 и Notes, необходимо вначале удалить Notes с компьютера. После этого заново установите Notes, выполнив процедуру, описанную ниже. При удалении Notes убедитесь, что созданы резервные копии важных файлов (например, закладок, личной адресной книги и учетных записей пользователей).
Примечание Если вход в Notes осуществляется по смарт-карте или учетная запись пользователя защищена несколькими паролями, синхронизация паролей невозможна.
Чтобы установить Notes и обеспечить единый пароль для входа
При установке Notes не забудьте пометить для установки компонент в окне выборочной настраиваемой установки Lotus Notes 6, обеспечивающий использование единого пароля.
Запустите Notes для исходной настройки клиента.
После этого измените пароль Notes так, чтобы он совпадал с паролем Windows NT/2000. Следует учесть, что при выборе команды Файл - Безопасность - Безопасность пользователя флажок "Подключаться к Notes с параметрами подключения ОС" на вкладке "Безопасность" по умолчанию установлен.
После синхронизации паролей Notes и Windows NT/2000 выйдите из Notes и перезапустите компьютер. Войдите в систему, указав пароль Windows NT/2000. При запуске Notes запрос на ввод пароля выдаваться не будет.
Примечание После того как компонент, обеспечивающий использование единого пароля, установлен, его в любой момент можно как выключить, так и снова включить.
Чтобы изменить синхронизированный пароль Notes
После выполнения синхронизации паролей ничто не мешает изменить единый пароль в любой момент. Независимо от того, будет это сделано из Windows или из Notes, пароли останутся согласованными. Смена пароля в Windows описана в справке Windows. Изменить единый пароль из Windows можно, только если пароли Windows и Notes уже совпадают. В противном случае необходимо выполнять смену пароля через Notes. Чтобы изменить пароль в Notes.
Чтобы выключить синхронизацию паролей
Выберите команду: Файл - Безопасность - Безопасность пользователя.
Откройте вкладку "Безопасность".
Снимите флажок "Подключаться к Notes с параметрами подключения ОС" в разделе "Настройка подключения и пароля". При этом изменять пароль необязательно. Как только синхронизация паролей будет отключена, для каждого входа в Notes снова потребуется ввод пароля.Чтобы снова задействовать синхронизацию паролей, установите флажок "Подключаться к Notes с параметрами подключения ОС" и обеспечьте исходное совпадение паролей Notes и операционной системы.
Примечание Чтобы узнать текущую настройку, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Безопасность" и нажмите кнопку "Изменить пароль". Если Notes не позволяет использовать старые пароли, необходимо установить новый пароль Notes. При этом Notes соответствующим образом изменит и пароль операционной системы.
Чтобы полностью исключить возможность использования единого пароля, нужно удалить Notes с компьютера. После этого при переустановке Notes не следует устанавливать компонент для работы с единым паролем.
Примечание Синхронизация паролей на компьютерах Macintosh может быть выполнена с помощью средства Keychain операционной системы Macintosh OS. Дополнительные сведения см. в справочной системе компьютеров Macintosh.
Использование смарт-карт для входа в Notes
Предупреждение Систему входа с помощью смарт-карт ни в коем случае не следует задействовать, не оповестив об этом администратора. Администратор при этом должен убедиться, что для учетной записи не используется режим ограничения срока действия пароля.
Смарт-карты похожи на кредитные карточки, но вместо магнитной полосы у них имеются микропроцессор и микросхема памяти. Начиная с версии Lotus Notes 6, Notes позволяет использовать смарт-карту совместно с учетной записью пользователя при условии, что на компьютере имеется устройство для считывания смарт-карт. Если для учетной записи разрешен вход по смарт-карте, вместо пароля Notes предлагает ввести личный секретный код (PIN-код) смарт-карты. Одним из основных различий между использованием пароля Notes и PIN-кода смарт-карты является блокировка смарт-карты при многократном неправильном вводе PIN-кода, после чего требуется вмешательство администратора.
Преимущество смарт-карт при работе с Notes состоит в том, что они позволяют блокировать учетные записи. В обычном режиме для доступа к Notes нужны только учетная запись и пароль. При работе же со смарт-картой требуются учетная запись, сама смарт-карта и ее PIN-код. Поскольку пользователь носит смарт-карту с собой (подобно кредитной карточке), вероятность "присвоения" его учетной записи другим лицом снижается.
Примечание Notes версии 5 или более ранней не допускает использования учетной записи Lotus Notes 6, настроенной на работу со смарт-картой.
Чтобы разрешить вход в систему по смарт-карте
Если пароль Windows NT/2000 или интернет-пароль для доступа к Domino синхронизирован с паролем Notes, работа со смарт-картой требует эту синхронизацию отключить.
Предупреждение Прежде чем начать работу со смарт-картой, необходимо обратиться к администратору, чтобы убедиться в возможности восстановления учетной записи. Если для входа в систему нужен пароль, параллельно использовать учетную запись, настроенную для работы со смарт-картой, и ее обычную восстановленную версию нельзя. В целом при использовании смарт-карты проверка пароля должна быть отключена. После того как учетная запись была настроена на работу со смарт-картой, отказаться от этого уже невозможно.
Убедитесь, что на компьютере установлено устройство для считывания смарт-карт, а администратор сохранил данные, необходимые для восстановления учетной записи.
Вставьте смарт-карту в устройство считывания.
Выберите команду: Файл - Безопасность - Безопасность пользователя.Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Смарт-карты".
В окне "Настройка смарт-карты" введите полный путь к папке с файлом драйвера смарт-карты PKCS #11 в поле "Файл драйвера смарт-карты" или найдите этот файл с помощью кнопки с изображением папки. (Этот файл обычно устанавливается вместе с устройством считывания смарт-карт.) Например: C:\Schlumberger\Smart Cards and Terminals\Common Files\SLBCK.DLL.Совет В списке, расположенном непосредственно под полем "Файл драйвера смарт-карты", как правило, представлены возможные варианты расположения этого файла.
Нажмите кнопку "Продолжить".
Нажмите кнопку "Разрешить вход с использованием смарт-карт" в окне "Использование смарт-карт в Notes".
Введите пароль Notes, а затем PIN-код смарт-карты. Как только будет получено подтверждение о включении входа по смарт-карте, при входе в Notes следует использовать PIN-код смарт-карты.
Для некоторых смарт-карт поддерживается возможность ввода описания. В этом случае по запросу введите описание в поле "Подпись для входа со смарт-картой". Например: "Карта Ивана Ивановича".
Примечание Отходя от рабочей станции, не забудьте взять смарт-карту с собой. При использовании драйвера смарт-карт PKCS#11 версии 2.01 или более поздней удаление смарт-карты из устройства считывания автоматически приводит к блокированию окна Notes до тех пор, пока смарт-карта не будет вставлена в устройство чтения и не будет повторно введен PIN-код.
Чтобы сохранить личные ключи Интернета на смарт-карте
На смарт-карте можно хранить личные ключи Интернета из личных сертификатов для Интернета (это не относится к сертификатам, полученным от агентств сертификации). Хранение личных ключей Интернета на смарт-карте повышает их уровень защищенности по сравнению с хранением в файле учетной записи. После перемещения личного ключа на смарт-карту при экспорте сертификата в файл помещается только сам сертификат без личного ключа.
Некоторые ключи (в том числе 630-разрядные личные ключи) на смарт-карты помещать нельзя.
Предупреждение Помещенные на смарт-карту личные ключи Интернета удалить невозможно. Восстановить ключи со смарт-карты можно только в случае, когда восстановление предусмотрено для учетной записи. Если данные для восстановления учетной записи изменяются после размещения ключей на смарт-карте, восстановить ключи напрямую становится невозможно. Если же личные ключи Интернета не восстанавливать, данные, зашифрованные с помощью этих ключей, будут недоступны. Перед продолжением этой процедуры узнайте у администратора, могут ли быть восстановлены ваши личные ключи Интернета.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
По запросу введите PIN-код.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В списке выберите вариант "Ваши сертификаты Интернета".
Выберите сертификат Интернета, соответствующий личному ключу, который необходимо сохранить на смарт-карте.
В правой части диалогового окна выберите команду: Другие действия - Переместить личный ключ на смарт-карту.
Получив предупреждение о невозможности отмены действия, нажмите кнопку "Да".
Введите PIN-код.
Должно появиться подтверждение успешного сохранения личного ключа.
Чтобы импортировать сертификаты Интернета со смарт-карты
Если на выданной вам смарт-карте уже сохранены ключи Интернета, Notes поддерживает возможность импорта этих ключей и их сохранения в файле учетной записи. Позже Notes сможет их найти и использовать.
Примечание Эта возможность доступна только пользователям, на компьютерах которых установлено устройство чтения смарт-карт, и использование смарт-карт включено в учетной записи Notes. В противном случае ее нельзя выбрать.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
По запросу введите PIN-код.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Нажмите кнопку "Получить сертификаты". Появится список, в котором перечислены возможные способы импорта сертификатов в файл учетной записи.
Выберите команду "Импорт секретного ключа со смарт-карты". С текущей смарт-карты будут импортированы все доступные сертификаты.
Запрос нового имени пользователя
Чтобы запросить новое имя пользователя, например при смене фамилии после замужества, необходимо обратиться к администратору. После изменения имени пользователь получает новые сертификаты для учетной записи, соответствующей новому имени. При этом возможны два варианта. В одном из них пользователь получает уведомление об изменении имени администратором и должен это изменение одобрить, а в другом изменение выполняется автоматически без уведомления.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Имена", и нажмите кнопку "Изменить имя" в разделе "Имена Notes".
Нажмите кнопку "Отправить сообщение".
Введите новое подходящее имя в соответствующее поле и нажмите кнопку "ОК".
В поле "Кому" введите имя администратора. Если это имя доступно, при подключении к сети оно само появится в поле "Кому". Чтобы найти его в справочнике Domino или личной адресной книге, нажмите кнопку "Адрес".
Введите в поле "Текст" описание необходимых изменений.
При необходимости зашифруйте или подпишите сообщение с помощью флажков "Подпись" и "Шифровать".
Нажмите кнопку "Отправить".
В диалоговом окне "Изменение имен Notes" выберите режим изменения.
Выберите вариант "Запросить подтверждение перед изменением имени", чтобы до завершения администратором этой процедуры, получить уведомление с запросом на подтверждение нового имени. Это удобно, например, в случаях, когда желательно проверить правильность написания имени.
Выбор вариант "Автоматически загрузить и принять изменение имени", если хотите обойтись без процесса уведомления/одобрения.
Дальнейшие события, в зависимости от выбранного администратором способа изменения имени, происходят по одному из трех сценариев.
Имя автоматически изменяется при следующем подключении к серверу, и никаких дополнительных действий не требуется (только при выборе на шаге 8 режима "Автоматически загрузить и принять изменение имени").
На экране появляется предложение принять изменение имени, отклонить его или отложить решение (только при выборе на шаге 8 режима "Запросить подтверждение перед изменением имени"). Выбор варианта "Повторить запрос позже" позволяет отложить решение о смене имени.
На имя пользователя приходит письмо от администратора с новым именем. В этом письме содержатся также указания по включению нового имени в учетную запись.
Доступ к серверам с использованием сертификатов
Сертификат, сохраненный в учетной записи, по сути представляет собой электронную печать, которая, подобно печати в паспорте, заверяет личность пользователя для сервера. Полученная исходно от администратора учетная запись содержит Сертификат Notes. Наряду с ней у пользователя могут быть и сертификаты Интернета. (Сертификаты Интернета иногда называются также сертификатами X.509.)
Чтобы просмотреть все сертификаты, находящиеся в учетной записи, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Что такое сертификаты Notes?
При попытке доступа к любому серверу Domino, будь то почтовый сервер или сервер отдела кадров организации, пользователю нужен сертификат, чтобы идентифицировать себя перед сервером, причем серверу тоже нужен сертификат, чтобы эту идентификацию провести.
Начиная с версии 5 для сертификатов Notes используются составные имена, неотъемлемой частью которых является имя агентства сертификации (АС). (Агентство сертификации - это служба, создающая сертификаты и выдающая их пользователям.) Сертификат выглядит примерно так: "Petr Ivanov/ACME", где "Petr Ivanov" - имя пользователя, а "ACME" - имя АС.
В учетную запись могут входить следующие три типа сертификатов Notes.
Многоцелевые сертификаты Notes покрывают большинство нужд идентификации, включая вход в Notes и доступ к базам данных на серверах Domino. Многоцелевые сертификаты Notes обеспечивают достаточно мощный уровень шифрования, что, в частности, гарантирует высокую защищенность почты, если она отправлена получателю с помощью его многоцелевого сертификата. Каждый сертификат содержит общий ключ, необходимый для подписывания и шифрования сообщений, имя АС, выдавшего сертификат, имя пользователя или сервера, которому сертификат был выдан, дату создания сертификата и срок его действия. Большинство пользователей применяют только многоцелевые сертификаты.
Международные сертификаты Notes используются только для шифрования. Они позволяют отправлять зашифрованные сообщения владельцу сертификата всем, кто по тем или иным причинам не может использовать "сильное шифрование". В общем случае эти сертификаты не предназначены для личного пользования. В учетной записи всегда имеется международный сертификат, даже если он реально не используется.
Простые сертификаты использовались в Notes версии 4.6 и более ранних; они нужны для доступа к серверам старых версий (предшествующих Release 5), применяющим такие сертификаты. Составных имен у простых сертификатов нет. Создать такой сертификат в Notes версии 5 или более поздней нельзя. Использовать простой сертификат в учетной записи в качестве сертификата для входа в Notes можно лишь в том случае, если этот сертификат уже был создан до обновления Notes на версию 5 или более позднюю.
Что такое сертификаты Интернета?
Сертификаты Интернета нужны для доступа к безопасным Web-узлам, таким как https://www.verisign.com, подключение к которым осуществляется по протоколу SSL, а также для шифрования и подписывания почты, отправляемой через Интернет. Обычно такие сертификаты хранятся в Web-браузере, например Netscape или Internet Explorer; однако их можно хранить и в учетной записи, что необходимо для их использования браузером и почтовыми средствами Notes. В сертификатах Интернета часто содержатся адреса электронной почты. Поскольку имена сертификатов Интернета имеют значительную длину, Notes отображает адреса электронной почты в укороченном формате, что позволяет понять, кому сертификат принадлежит. Если адрес электронной почты недоступен, на
экране отображается наиболее существенная часть имени сертификата Интернета. Например, сертификат имеет вид: CN=ACME Internet CA/O=ACME/S=MOSOCW/C=RU. Для этого сертификата на экране появится часть имени "ACME Internet CA".
Примечание Чтобы увидеть имя сертификата Интернета целиком, выберите команду: Файл - Безопасность - Безопасность пользователя (пользователи Macintosh OS X: Notes - Security - User Security), откройте вкладку "Идентификация - Сертификаты" выберите в списке "Ваши сертификаты Интернета" и нажмите кнопку "Дополнительные сведения".
Сертификаты Интернета рассматриваются Notes как многоцелевые сертификаты Интернета. В Notes этот тип сертификатов используется для доступа к безопасным Web-страницам с помощью браузера Notes, для отправки и получения зашифрованных сообщений в стандарте S/MIME, а также для безопасного подключения к службам Интернета по протоколу SSL.
В отличие от сертификатов Notes, один сертификат Интернета можно использовать для подписывания сообщений, а другой - для их шифрования.
Обновление сертификатов Notes перед истечением срока их действия
В учетную запись Notes всегда входят многоцелевой и международный сертификаты Notes. Срок их действия ограничен, и по его истечении сертификаты следует обновить. Если сертификат не обновить перед завершением срока действия, он становится недействительным. Запустить Notes с истекшим многоцелевым сертификатом можно, однако войти хотя бы на один сервер Notes при этом не удастся. В этом случае следует обратиться к администратору.
При обновлении сертификата изменяется только срок его действия. Общие и личные ключи сохраняются. Поскольку личные ключи не изменяются, администратор может обновлять сертификаты без вмешательства пользователя. Если он не обновит сертификаты автоматически, перед завершением срока их действия пользователю будет выдано предупреждение.
Чтобы определить срок действия сертификата, выберите команду: Файл - Безопасность - Безопасность пользователя (пользователи Macintosh OS: Notes - Security - User Security), откройте вкладку "Безопасность" и посмотрите в разделе "Личные данные" значение параметра "Срок действия файла учетной записи". Чтобы узнать срок действия сертификатов Интернета или простых сертификатов, в диалоговом окне "Безопасность пользователя" откройте вкладку "Идентификация", а затем - вкладку "Сертификаты", в раскрывающемся списке задайте нужный тип сертификатов, выберите сертификат и посмотрите значение, указанное для него в поле "Годен до".
Примечание Если вы не пользуетесь почтой Notes, получив уведомление, обновите сертификат через гибкий диск, передав его администратору.
Чтобы обновить сертификаты Notes
При отправке сертификата пользователь фактически отправляет защищенную копию учетной записи. Сведений, содержащихся в защищенной копии, достаточно для перезаверения учетной записи, но недостаточно для ее злонамеренного использования.
При любом обновлении своего сертификата не забудьте обновить все копии учетной записи (это не касается роуминг-пользователей, учетные записи которых реплицируются).
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность" и нажмите кнопку "Обновить" в разделе "Личные данные".
Нажмите кнопку продолжить в окне "Подтверждение обновления".
В поле "Кому" введите имя администратора Domino. Если это имя доступно, при подключении к сети оно само появится в поле "Кому". Чтобы найти его в справочнике Domino или личной адресной книге, нажмите кнопку "Адрес".
Нажмите кнопку "Отправить".
Процесс обновления завершается после того, как администратор ответил на запрос. Подготовленные администратором обновленные сертификаты либо приходят по почте (откройте почту и выберите команду: Действия - Принять сертификат), либо автоматически включаются в учетную запись при следующем входе в Notes. Удостоверившись, что обновленные сертификаты Notes попали в учетную запись, обновите все копии файла учетной записи.
Чтобы обновить сертификаты Notes с помощью гибкого диска или другой почтовой программы
Чтобы обновить сертификат Notes по почте или через гибкий диск, необходимо создать защищенную копию учетной записи и отправить ее администратору. Сведений, содержащихся в защищенной копии, достаточно для перезаверения учетной записи, но недостаточно для ее злонамеренного использования.
При любом обновлении своего сертификата убедитесь также в том, что обновлены все копии вашей учетной записи.
Если используется гибкий диск, вставьте его в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность" и нажмите кнопку "Обновить" в разделе "Личные данные".
Нажмите кнопку "Экспорт учетной записи" в окне "Подтверждение обновления".
Выберите папку на гибком диске или папку, к которой имеется доступ из почтовой программы, в окне "Имя защищенной копии учетной записи".
Введите имя файла защищенной копии учетной записи пользователя в поле "Имя файла" (пользователи Macintosh - в поле "Save As"). По умолчанию он называется SAFE.ID
Нажмите кнопку "Сохранить" и закройте окно "Подтверждение обновления".
Передайте гибкий диск администратору Domino или вложите защищенную копию учетной записи в почтовое сообщение и отправьте его администратору.
Получив диск обратно, необходимо импортировать обновленный сертификат в учетную запись.
Чтобы запросить новые простые сертификаты Notes
Чтобы получить новый простой сертификат, достаточно отправить соответствующий запрос администратору заверителя, использующего такие сертификаты. Простые сертификаты иногда нужны для доступа к старым серверам.
Вставьте гибкий диск в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Выберите команду: Получить сертификаты - Запросить новый простой сертификат Notes.
Введите имя администратора Domino в поле "Кому" (для выбора из личной адресной книги нажмите кнопку "Адрес"). Если это имя доступно, при подключении к сети оно само появится в поле "Кому".
Нажмите кнопку "Отправить".
Когда администратор пришлет новый сертификат, откройте сообщение и выберите команду: Действия - Принять сертификат.
Примечание При импорте в учетную запись простого сертификата или нового имени пользователя на экране появляется диалоговое окно "Включение сертификата в учетную запись". В нем требуется указать, следует ли доверять другим сертификатам, подписанным агентством сертификации (АС), создавшим данный сертификат. При положительном ответе пользователь получает доступ ко всем серверам, имеющим данный сертификат или распознаваемым АС, которое выдало сертификат. В противном случае доступ к этим серверам будет закрыт.
Запрос сертификатов Интернета
Сертификат Интернета можно запросить через администратора на сервере Domino или у другого поставщика. Вне зависимости от источника сертификата его можно будет использовать в Notes, только если запрос на него выполнен из браузера Notes. Сертификаты Интернета применяются для подписывания и шифрования сообщений, а также для безопасных подключений через Интернет.
Если сертификат Интернета получен с помощью другого браузера, например Netscape, необходимо экспортировать его из браузера, а затем импортировать сертификат Интернета обратно в Notes.
До истечения срока действия сертификат Интернета необходимо обновить тем же способом, каким он был получен изначально. Последний добавленный в учетную запись сертификат Интернета становится сертификатом, используемым по умолчанию для подписывания почты.
Получив сертификат Интернета, необходимо создать архивную копию учетной записи.
Чтобы запросить сертификат Интернета через администратора с сервера Domino
Сообщите администратору о необходимости получить сертификат Интернета. Возможны следующие варианты.
Администратор самостоятельно подает запрос на сертификат Интернета для вас. Как только сертификат будет получен и сохранен, Notes автоматически добавит его в вашу учетную запись при первом же подключении к основному серверу.
Администратор сообщит вам адрес Интернета, который позволит запросить сертификат Интернета самостоятельно. Откройте указанный Web-узел в браузере Notes и выполните дальнейшие действия.
Если отправленный администратором адрес представляет собой агентство сертификации (АС) Domino, прежде чем запросить сертификат Интернета, щелкните ссылку, позволяющую работать с агентством из браузера ("Accept This Authority In Your Browser").
Нажмите кнопку "Установить сертификат" ("Install Certificate"). Подтвердите установку сертификата от АС Интернета.
При появлении на экране окна "Перекрестный сертификат" нажмите кнопку "Перекрестно заверить". После появления сообщения об успешном завершении нажмите кнопку ОК. При этом в адресную книгу будут добавлены сертификат АС Domino и перекрестный сертификат для него.
Вернитесь к исходному узлу, указанному администратором, и запросите сертификат клиента в соответствии с инструкциями, которые имеются в форме.
Полученное от администратора сообщение будет включать уникальный номер, который потребуется, чтобы получить сертификат Интернета. Обязательно сохраните этот номер.
В браузере Notes выполните инструкции, содержащиеся в сообщении администратора. Для получения сертификата Интернета необходим полученный ранее идентификационный номер.
После установки сертификат Интернета помещается в учетную запись.
Примечание Чтобы использовать сертификат Интернета на другой рабочей станции, следует перенести на другой компьютер свою учетную запись.
Чтобы запросить сертификат Интернета у другого поставщика
При запросе сертификата Интернета с помощью окна "Безопасность пользователя" происходит автоматическое изменение параметров места вызова (как правило, это необходимо для настройки браузера Notes). В дальнейшем следует воздержаться от изменения настройки места вызова вплоть до завершения установки нового сертификата. По завершении установки сертификата в случае, если параметры места вызова были ранее изменены автоматически, на экран будет выведено напоминание о необходимости их заново проверить.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Получить сертификаты - Запросить новый сертификат Интернета.
Введите в поле URL полный адрес агентства сертификации (АС), у которого необходимо запросить сертификат Интернета. Несколько таких адресов Notes предоставляет по умолчанию.
(Необязательно.) Установите флажок "Не принимать решения о доверии, принимать все сертификаты Web-узлов (снижается безопасность)" Если этот флажок не установлен, не исключено получение запроса на создание перекрестных сертификатов для сертификатов Web-серверов, не являющихся доверенными.
Нажмите кнопку "Открыть Web-страницу".
Запросите сертификат клиента в соответствии с инструкциями на Web-узле.
Если в личной адресной книге отсутствует перекрестный сертификат для АС, у которого запрашивается сертификат, может появиться сообщение об ошибке "Сертификат службы Интернета не является доверенным. Выполнить действия по исправлению (т.е. загрузить сертификат службы и решить, следует ли ему доверять)". Нажмите кнопку "Да", а затем - кнопку "Подключить". Нажмите кнопку "Перекрестно заверить", а получив сообщение об устранении всех проблем с доверием - кнопку ОК. Новый перекрестный сертификат Интернета будет помещен в личную адресную книгу. Обновите Web-страницу и продолжайте выполнение инструкций.
Полученное от поставщика сообщение будет включать уникальный номер, который потребуется, чтобы получить сертификат Интернета. Обязательно сохраните этот номер.
Чтобы получить сертификат клиента, в браузере Notes следуйте инструкциям, содержащимся в сообщении поставщика. Для получения сертификата Интернета необходим полученный ранее идентификационный номер.
После установки сертификат Интернета помещается в учетную запись.
Примечание Чтобы использовать сертификат Интернета на другой рабочей станции, следует перенести на другой компьютер свою учетную запись.
Импорт и экспорт сертификатов Интернета для использования в браузерах
Вновь полученные сертификаты Интернета можно использовать только в браузере, из которого они были запрошены. Однако экспорт сертификатов из браузера и их импорт в учетную запись позволяют задействовать их также в браузере Notes и при работе с почтой в стандарте S/MIME. Аналогичным образом, сертификаты можно экспортировать из учетной записи для применения в других, отличных от Notes, браузерах. Процесс экспорта и импорта сертификатов иногда полезен и при работе с другими приложениями, например Microsoft Outlook.
Чтобы импортировать сертификат Интернета в учетную запись
Если в браузере, например в Netscape, сохранен сертификат Интернета и его требуется использовать в браузере Notes, этот сертификат следует импортировать в учетную запись.
Импорт недействительных сертификатов Интернета и незавершенных цепочек сертификатов не допускается.
Экспортируйте сертификат Интернета из браузера и сохраните в каталоге, откуда его потом нетрудно будет взять. Если есть возможность выбрать формат экспорта, укажите формат PKCS 12, включающий личные ключи Интернета и все вспомогательные сертификаты Интернета из цепочки. Если состав экспортированных объектов не входит личный ключ Интернета, импортировать сертификаты в учетную запись не удастся.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Получить сертификаты - Импорт сертификатов Интернета.
Выберите файл, содержащий экспортированный из браузера сертификат Интернета, в появившемся диалоговом окне и нажмите кнопку "Открыть".
При необходимости выберите формат импортируемого сертификата Интернета, а затем нажмите кнопку "Продолжить". По умолчанию формат выбирается в Notes автоматически.
Если для файла указан пароль, введите его.
Чтобы принять импортируемый сертификат, нажмите кнопку "Принять все" в окне "Импорт сертификатов Интернета".
Чтобы проверить, что все сертификаты Интернета импортированы в учетную запись, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Идентификация", а затем - вкладку "Сертификаты", и выберите в раскрывающемся списке тип "Ваши сертификаты Интернета".
(Рекомендуется.) Завершив импорт сертификатов Интернета, создайте архивную копию учетной записи (это не относится к роуминг-пользователям, которым архивные копии учетных записей не нужны).
Примечание По завершении импорта сертификата Интернета в учетную запись может понадобиться создать для него перекрестный сертификат, если импортированный сертификат не числится доверенным.
Чтобы экспортировать сертификат Интернета из учетной записи
Если уже имеющийся в учетной записи Notes сертификат Интернета необходимо использовать в другом браузере, например в Netscape, сертификат следует экспортировать из учетной записи.
Допускается одновременный экспорт только одного сертификата. Выбранный сертификат Интернета экспортируется вместе с со всей цепочкой.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
Укажите экспортируемый сертификат Интернета, выбрав в раскрывающемся списке значение "Ваши сертификаты Интернета".
В правой части диалогового окна выберите команду: Дополнительные действия - Экспорт сертификата.
Выберите формат сертификата для экспорта, а затем нажмите кнопку "Продолжить". По умолчанию используется формат PKCS 12, который обычно совместим с большинством браузеров.
Если выбран формат экспорта PKCS 12, в поле "Предлагаемое имя" рекомендуется ввести (или исправить) описательное имя сертификата. Это имя позволит в дальнейшем отличать сохраненные в браузере сертификаты друг от друга. Именно оно будет во всех случаях использоваться браузером для данного сертификата.
Чтобы при экспорте в формате PKCS 12 экспортировать не только сертификат Интернета, но и соответствующий ему личный ключ, в окне "Параметры экспорта" установите флажок "Экспорт личного ключа, соответствующего данному сертификату" и нажмите кнопку "Продолжить". Если личный ключ не экспортируется, сертификат будет непригоден для выполнения многих функций по обеспечению безопасности.
Примечание Если экспорт выполняется из диалогового окна "Безопасность пользователя", причем экспортировать личный ключ не удается несмотря на то, что формат PKCS 12 обычно это позволяет, весьма вероятно, что ключ сохранен на смарт-карте и экспорту не подлежит.При выборе формата PKCS 12 в диалоговом окне "Пароль для экспорта сертификатов Интернета" введите пароль для экспортируемого файла и подтвердите его, а затем нажмите кнопку "Продолжить". Если пароль для файла экспорта не требуется, выберите режим "Без пароля".
Укажите каталог и имя файла для экспорта в появившемся диалоговом окне и нажмите кнопку "Сохранить".
Удаление сертификатов
Из учетной записи можно удалить и простые сертификаты, и сертификаты Интернета. При этом, однако, Notes сохраняет соответствующие ключи, которые необходимы для расшифровки данных, зашифрованных с помощью удаленных сертификатов. Чтобы просмотреть ключи удаленных сертификатов, выполните шаги 1 и 2 (см. ниже), а затем в раскрывающемся списке выберите значение "Все ключи".
Примечание Удаление составных сертификатов Notes невозможно.
Чтобы удалить сертификаты из учетной записи
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В раскрывающемся списке выберите значение "Все сертификаты".
Укажите удаляемый сертификат и в правой части диалогового окна выберите команду: Дополнительные действия - Удалить из учетной записи.
Примечание При отсутствии разрешения на удаление выбранного сертификата команда "Удалить из учетной записи" недоступна.
Как устанавливаются доверительные отношения для сертификата Notes или Интернета
Сертификаты Notes и Интернета используются в качестве удостоверений. Во многих случаях приходится решать вопрос о том, являются ли сертификаты, встреченные Notes, законными, т.е. можно ли им доверять. Наиболее удобный способ подтверждения доверия к сертификату состоит в объявлении доверия по отношению к агентству сертификации (АС) в целом, что позволит в дальнейшем доверять всем сертификатам, выданным этим АС. При первом получении учетной записи единственным полностью доверенным АС является только АС, выдавшее сертификаты Notes. Доверие по отношению к сертификатам других АС, в том числе не относящихся к числу доверенных, устанавливается только после явного указания на необходимость доверять сертификатам определенного АС или отдельным сертификатам этого АС.
Чтобы просмотреть сертификаты, для которых установлены доверительные отношения, или изменить эти отношения для конкретных сертификатов, выберите команду: Файл - Безопасность - Безопасность пользователя, откройте вкладку "Другие пользователи" и выберите "Люди, службы" или "Агентства". Дополнительные сведения о вкладке "Люди, службы", на которой присутствуют доверенные сертификаты отдельных пользователей и служб. Дополнительные сведения о вкладке "Агентства", на которой представлены доверенные сертификаты АС, см. в разделе Агентства сертификации и выданные ими сертификаты.
Помимо управления доверительными отношениями в диалоговом окне "Безопасность пользователя", решения о доверии иногда приходится принимать непосредственно в ходе работы. Ниже приведены примеры ситуаций, в которых может потребоваться создание перекрестного сертификата, устанавливающего доверительные отношения для сертификата Notes или Интернета. Создание перекрестного сертификата аналогично установлению доверительных отношений для сертификата в диалоговом окне "Безопасность пользователя".
Перекрестный сертификат Notes При попытке доступа к серверу Notes из домена Domino, в который вы не входите, могут быть обнаружены сертификаты Notes, не относящиеся к числу доверенных. В этом случае выдается запрос на создание перекрестного сертификата либо для сертификата сервера, либо для АС, выдавшего этот сертификат. Без перекрестного сертификата подключение к серверу будет невозможно из-за отсутствия доверия по отношению к сертификатам сервера. Создание перекрестного сертификата для сертификата сервера позволяет зарегистрировать доверие по отношению к сертификату и признать его законным. Создание же перекрестного сертификата для АС, выдавшего сертификат сервера, устанавливает доверительные отношения для любого сертификата, выданного этим АС.
Перекрестный сертификат Интернета При получении почты в стандарте S/MIME от лица, заверившего сообщение цифровой подписью, вместе с сообщением приходят сертификат отправителя и сертификат АС, выдавшего ему сертификат. Если Notes не доверяет этим сертификатам, выдается запрос на создание перекрестного сертификата либо для сертификата отправителя, либо для АС, которым этот сертификат выдан. Если не создать такой перекрестный сертификат, сообщение прочесть все равно удастся, однако запрос на создание перекрестного сертификата будет появляться при каждом его открытии из-за отсутствия доверительных отношений. Создание перекрестного сертификата для сертификата отправителя позволяет зарегистрировать доверие по отношению к сертификату и признать его законным. Создание же перекрестного сертификата для АС, выдавшего сертификат отправителя, устанавливает доверительные отношения для любого сертификата, выданного этим АС. Следует отметить, что создание перекрестного сертификата для АС никогда не делается по у
молчанию, а пользоваться этим приемом следует с осторожностью, так как сертификат выдан за пределами домена Notes.
Поиск доверенных сертификатов Notes и Интернета
Все сертификаты, принадлежащие отдельному пользователю, можно найти в личной адресной книге или в справочнике Domino. Предположим, что необходимо отправить зашифрованное сообщение сослуживцу. Для этого Notes необходим сертификат этого человека. Если нет уверенности в том, что Notes найдет нужный сертификат, либо в том, что этот сертификат является доверенным, необходимо выполнить поиск всех принадлежащих данному сотруднику сертификатов.
Чтобы найти сертификат по имени пользователя
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Установите переключатель в положение "Искать имя в справочнике и в личной адресной книге", а затем выполните одно из следующих действий.
Введите в поле "Адрес почты Интернета или имя Notes" имя нужного пользователя. Если введено имя группы, будут показаны сертификаты всех участников группы. Имя можно указать любым из перечисленных ниже способов.| Имя
| Описание
|
|---|
| Ivan Kuznetsov/ACME |
Имя пользователя Notes |
Kuznetsov
kuznetsov
|
Фамилия |
| Ivan |
Имя (будут найдены все Иваны, присутствующие в справочнике Domino) |
| ikuznetsov |
Краткое имя Notes |
| CN=Ivan Kunzetsov/O=ACME |
Полное имя сертификата Notes |
| Ivan_Kuznetsov@ACME.ru |
Адрес электронной почты |
| Kuznetsov/O=ACME |
Полное имя сертификата Интернета |
| Pisateli |
Имя группы Notes |
Щелкните значок с изображением пользователя справа от поля "Адрес почты Интернета или имя Notes", выберите адресную книгу, в которой необходимо выполнить поиск, в списке "Выберите адресную книгу" и укажите в поле "Найти имена, начинающиеся с" фамилию пользователя.
Нажмите кнопку "Искать имя". Появится список сертификатов, принадлежащих искомому пользователю. Если сертификат является доверенным (обычно это означает наличие соответствующего перекрестного сертификата в личной адресной книге), рядом с ним в столбце "Доверие" будет стоять галочка.
Чтобы найти сертификаты в личной адресной книге
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Выберите параметр "Показать все записи адресной книги". Появится список сертификатов для пользователей и служб, найденных в адресной книге. Если сертификат является доверенным (обычно это означает наличие соответствующего перекрестного сертификата в личной адресной книге), рядом с ним в столбце "Доверие" будет стоять галочка.
Чтобы получить у администратора заверенные сертификаты для использования по умолчанию
Существует возможность загрузить сразу все заверенные сертификаты из справочника Domino, однако это относится только к сертификатам, решение доверять которым принято администратором. В личной адресной книге решение доверять сертификатам из справочника реализуется путем создания перекрестных сертификатов.
Предупреждение Следует учесть, что импорт заверенных администратором сертификатов может привести к изменению параметров, установленных в личной адресной книге.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Установите переключатель в положение "Дополнительные сведения о пользователе/службе".
Нажмите кнопку "Загрузить стандартные административные параметры доверия".
Чтобы найти заверенные сертификаты в других адресных книгах
Если Notes не находит необходимых сертификатов, можно просмотреть другие адресные книги.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Установите переключатель в положение "Дополнительные сведения о пользователе/службе".
Щелкните значок с изображением пользователя в верхней части окна.
Отправка и получение сертификатов Notes для установки доверительных отношений
Доверительные отношения для сертификата устанавливаются посредством перекрестного сертификата. Чтобы кто-либо иной мог создать для вашего сертификата перекрестный сертификат, может понадобиться отправить свой сертификат Notes этому пользователю. Вы, в свою очередь, также можете получить сертификат Notes, для которого необходим перекрестный сертификат. Можно также создать перекрестный сертификат для сертификата из справочника Domino.
Примечание Пользователю, не работающему с почтой Notes, придется передавать сертификат на гибком диске.
Чтобы отправить свой сертификат
При отправке своего сертификата пользователь фактически отправляет защищенную копию учетной записи. Сведений, содержащихся в защищенной копии, достаточно для создания перекрестного сертификата, но недостаточно для ее злонамеренного использования.
Примечание При работе с простым сертификатом ответить на запрос о перекрестном сертификате нельзя.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Дополнительные действия - Ответить на запрос перекрестного заверения.
Выберите файл учетной записи, содержащей сертификат, который нужно отправить, и нажмите кнопку "Открыть".
Введите в поле "Кому" имя пользователя, которому необходимо отправить учетную запись (чтобы выбрать имя из личной адресной книги, нажмите кнопку "Адрес").
Нажмите кнопку "Отправить".
Когда пользователь получит вашу учетную запись в сообщении электронной почты, он сможет создать для вашего сертификата перекрестный сертификат, а затем отправлять вам зашифрованные почтовые сообщения.
Чтобы создать перекрестный сертификат на основе полученного сертификата
Обратитесь к лицу, сертификат которого вам нужен, и попросите его ответить на запрос о перекрестном заверении.
Откройте сообщение, содержащее учетную запись, которую нужно перекрестно заверить.
Выберите команду: Действия - Перекрестно заверить вложенную учетную запись.
В окне запроса пароля учетной записи заверителя введите пароль для указанной учетной записи. По умолчанию в окне запроса пароля присутствует ваша учетная запись с составным именем, поэтому достаточно ввести пароль Notes.
В окне "Перекрестный сертификат" оставьте без изменений значения по умолчанию для заверителя и сервера. Заверителем при этом являетесь вы сами, а в роли сервера выступает локальный компьютер, что позволяет поместить перекрестный сертификат в личную адресную книгу.
Выберите режим создания перекрестного сертификата, при котором в поле "Имя" находится:
корень сертификата, например /ACME; при этом доверенным будет любой сертификат, выданный от имени этого корня;
организация сертификата, например /ABC/ACME; при этом доверенными будут только сертификаты, выданные от имени этой организации.
Нажмите кнопку "Перекрестно заверить".
Чтобы создать перекрестный сертификат на основе записи о пользователе в справочнике Domino
В справочнике Domino могут содержаться записи о пользователях из другой организации. Если такому пользователю нужен доступ к конкретному серверу в вашей организации, имеет смысл создать для него личный перекрестный сертификат. Сам пользователь должен при этом предоставить сертификат для перекрестного заверения. Данная задача выполнима только при наличии доступа на уровне автора к записи пользователя в справочнике Domino.
В справочнике Domino откройте запись пользователя, для которого выполняется перекрестное заверение.
Выберите команду: Действия - Создать перекрестный сертификат.
Выберите сертификат для перекрестного заверения.
В окне "Перекрестный сертификат" оставьте без изменений значения по умолчанию для заверителя и сервера. Заверителем при этом являетесь вы сами, а в роли сервера выступает локальный компьютер, что позволяет поместить перекрестный сертификат в личную адресную книгу.
Выберите режим создания перекрестного сертификата, при котором в поле "Имя" находится:
корень сертификата, например /ACME; при этом доверенным будет любой сертификат, выданный от имени этого корня;
организация сертификата, например /ABC/ACME; при этом доверенными будут только сертификаты, выданные от имени этой организации.
Нажмите кнопку "Перекрестно заверить".
Чтобы передать другому лицу сертификат на гибком диске
При передаче другому лицу сертификата на гибком диске необходимо сохранить на этом диске защищенную копию учетной записи. Сведений, содержащихся в защищенной копии, достаточно для создания перекрестного сертификата, но недостаточно для ее злонамеренного использования.
Вставьте гибкий диск в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Другие действия - Экспорт учетной записи Notes (защищенная копия).
Перейдите на дисковод, в который вставлен гибкий диск.
Введите имя файла защищенной копии учетной записи пользователя в поле "Имя файла" (пользователи Macintosh - в поле "Save As"). По умолчанию он называется SAFE.ID
Нажмите кнопку "Сохранить", а затем передайте гибкий диск лицу, запросившему сертификат.
Получив вашу учетную запись, другой пользователь должен будет импортировать сертификат в свою учетную запись. После этого он сможет перекрестно заверить сертификат и отправлять вам зашифрованные почтовые сообщения.
Чтобы загрузить перекрестный сертификат Интернета
Если при запросе сертификата Интернета в личной адресной книге отсутствует перекрестный сертификат для агентства сертификации (АС), в котором запрашивается сертификат, для получения сертификата необходимо загрузить перекрестный сертификат Интернета.
При попытке подключиться к Web-узлу по протоколу SSL также может понадобиться перекрестный сертификат Интернета. Например, подключение к https://www.verisign.com производится по протоколу SSL, о чем свидетельствует буква "S" после HTTP. Для подключения к SSL-узлам необходим перекрестный сертификат Интернета.
Если предпринимается попытка подключиться по протоколу SSL к защищенному Web-узлу при помощи браузера Notes, на экране может появиться сообщение о необходимости создания перекрестного сертификата "на ходу". Если такое сообщение не выводится, перекрестный сертификат нужно загрузить.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Другие пользователи", а затем - вкладку "Люди, службы".
Выберите параметр "Дополнительные сведения о пользователе/службе" и нажмите кнопку "Получить сертификат службы Интернета".
Введите адрес Web-узла, защищенного тем же АС, у которого запрашивается сертификат. Например: www.ibm.com.
В поле "Протокол" выберите тип протокола, используемого для подключения к серверу. Сервер должен поддерживать соединения по указанному протоколу и порту. Обычно можно оставить в полях значения, используемые по умолчанию.Примечание После того как получен перекрестный сертификат Интернета, его можно использовать для безопасного подключения SSL с использованием любого протокола.
Нажмите кнопку "Подключить".
Выполните одно из следующих действий.
Чтобы принять запрошенный перекрестный сертификат Интернета, нажмите в диалоговом окне "Заверение службы" кнопку ОК.
Чтобы просмотреть список прочих перекрестных сертификатов, которые также можно принять, в частности, например, сертификат самого АС, нажмите кнопку "Дополнительные свойства". Нажмите кнопку "Заверить данный сертификат".
(Необязательно.) Чтобы получить дополнительные сведения о сертификате, нажмите кнопку "Сведения о сертификате", "Дополнительные сведения" или "Дополнительные свойства" в окне "Заверение службы" или "Заверение сертификата".
При возникновении трудностей с получением перекрестного сертификата проверьте параметры настройки прокси-сервера в документе описания места вызова личной адресной книги.
Таблица управления доступом
Каждая база данных имеет таблицу управления доступом (ТУД), предназначенную для определения уровней доступа пользователей и серверов. Уровни доступа, назначенные пользователям, определяют круг задач, выполняемых этими пользователями в базе данных. Уровни доступа, назначенные серверам, определяют круг сведений в базе данных, реплицируемых этими серверами.
Изменять таблицу управления доступом может только пользователь с доступом на уровне управляющего. Разработчик и управляющий базы данных могут создать одну или несколько ролей, позволяющих уточнить круг доступа к отдельным представлениям, формам, разделам и полям базы данных. Дополнительные сведения по использованию таблицы управления доступом в базах данных, управляемых или создаваемых пользователем, см. в справке Lotus Domino Designer 6.
Таблица управления доступом относятся только к базам данных, находящимся на серверах, но не к локальным БД. Если в локальную базу данных вносится изменение, и выполняется ее репликация на сервер, репликация проводится в соответствии с уровнем доступа, определенным для пользователя в таблице управления доступом на сервере. Например, если при наличии доступа на уровне читателя к базе данных на сервере в локальную реплику базы данных добавляются новые документы, эти документы не будут добавлены в базу данных на сервере при последующей репликации. Доступ на уровне читателя не позволяет создавать новые документы. При этом, однако, разработчик базы данных может обеспечить согласованность таблицы управления доступом для всех реплик, чтобы ТУД использовали даже локальные базы данных.
Чтобы просмотреть ТУД базы данных, откройте базу данных и выберите команду: Файл - База данных - Управление доступом. Выберите в списке пользователя или сервер, чтобы узнать назначенный ему уровень доступа. Чтобы увидеть всех пользователей или все серверы, имеющие определенный уровень доступа в ТУД, выберите этот уровень в раскрывающемся списке "Пользователи, серверы, группы".
Уровни доступа для базы данных
Чтобы изменить уровень доступа пользователя, необходимо наличие доступа к базе данных на уровне управляющего.
| Уровень доступа
| Действия
| Назначение
|
|---|
| Управляющий |
Удаление базы данных
Шифрование базы данных
Изменение параметров репликации
Изменение ТУД базы данных
Выполнение всех задач, разрешенных для более низких уровней доступа
|
Пользователи, ответственные за эту базу данных. Если один пользователь отсутствует, базой данных может управлять другой. |
| Разработчик |
Создание полного индекса
Изменение всех элементов структуры базы данных (полей, форм, представлений, общих агентов, значка базы данных, документов "О базе данных" и "Работа с базой данных")
Выполнение всех задач, разрешенных для более низких уровней доступа
|
Разработчик базы данных и (или) пользователь, ответственный за будущие обновления структуры. |
| редактор; |
Создание документов
Изменение всех документов, включая созданные другими пользователями
Чтение всех документов, если в форме нет поля "Читатели" (документ нельзя изменить, если его нельзя прочитать)
|
Любой пользователь, которому разрешено создание и изменение документов в базе данных. |
| АвторПримечание Доступ на уровне автора по умолчанию не включает доступ для создания документов. При назначении пользователю или серверу доступа "Автор" необходимо также назначить ему доступ "Создание документов".
|
Создание документов
Изменение документов, имеющих поле "Авторы", в котором указан данный пользователь
Чтение всех документов, если в форме нет поля "Читатели"
|
Пользователи, которым требуется добавлять документы в базу данных.
Для снижения вероятности конфликтов репликации и сохранения рекомендуется, по возможности, назначать доступ на уровне автора, а не редактора. |
| читатель.Примечание Доступ на уровне читателя дает возможность чтения документов, если в форме нет поля "Читатели". В этом случае можно читать только те документы, в которых имя данного пользователя указано в поле "Читатели".
|
Чтение документов |
Пользователи, которым требуется чтение документов в базе данных. Создание и изменение документов запрещено. |
| Корреспондент |
Создание документов |
Пользователи, которым требуется только добавление документов, но не требуется чтение и изменение собственных и чужих документов. Например, уровень доступа "Корреспондент" удобен для приложений голосования. |
| нет доступа |
Только чтение общих документов и запись общих документов |
Пользователи с ограниченным доступом, которым не требуется доступ к базе данных, либо пользователи, не имеющие особого доступа. Сюда относятся также пользователи, которым не требуется доступ, но которые входят в группу, имеющую доступ.
Это уровень следует назначать по умолчанию, чтобы предотвратить доступ посторонних лиц в закрытую базу данных. |
Дополнительные права в списке управления доступом
Пользователь, имеющий доступ к базе данных на уровне управляющего, может выбирать уровень доступа для каждого лица, группы и сервера, а также при необходимости ограничивать или расширять доступ, выбирая или отменяя дополнительные права внутри уровня доступа. В зависимости от уровня доступа некоторые из следующих дополнительных прав можно выбрать или исключить при предоставлении пользователю доступа к базе данных.
| Необязательная привилегия
| Условия использования
|
|---|
| Создание документов |
Установите этот флажок для всех пользователей с доступом "Автор".
Снимите этот флажок, чтобы запретить авторам добавлять новые документы. Они все равно смогут читать и изменять уже созданные собственные документы. |
| Удаление документов |
Снимите этот флажок, если требуется запретить пользователю удалять документы независимо от уровня его доступа. Авторы могут удалять только документы, которые создали они сами. Если документ содержит поле "Авторы", автор может удалять документы, только если это поле содержит его имя либо группы или роли, его включающие. |
| Создание личных агентов |
Пользователи могут запускать агенты, которые выполняют задачи, допускаемые заданным пользователем уровнем доступа, только в ТУД. Личные агенты в базах данных на сервере занимают место на диске и время для обработки на сервере, поэтому в некоторых случаях следует снимать этот флажок, чтобы запретить пользователям создавать личные агенты.Примечание Разрешение и запрет на запуск пользователями агентов зависит от набора доступа, заданного администратором Domino в разделе "Ограничения для агентов" документа сервера в справочнике Domino. Если установить в ТУД флажок "Создание агентов LotusScript/Java" для имени, возможность запуска пользователем агентов на сервере будет определяться документом сервера.
|
| Создание личных папок |
Безопасность личных папок и представлений, созданных на сервере, выше, чем папок и представлений, созданных локально, поскольку они доступны на нескольких серверах. Административные агенты могут применяться только к папкам и представлениям, хранящимся на сервере.
Снимите этот флажок, чтобы запретить пользователям создавать папки и представления на сервере, что позволит сэкономить место на сервере. При этом пользователи все равно смогут создавать папки и представления локально. |
| Создание общих папок |
Снимите этот флажок, чтобы установить более строгое управление структурой базы данных. В противном случае пользователь, имеющий эту привилегию, сможет создавать папки и представления, видимые для других. |
| Создание агентов LotusScript/Java |
Агенты LotusScript и Java в базах данных на сервере могут отнимать значительное время обработки у процессора, поэтому может потребоваться запрет на их запуск пользователем.Примечание Разрешение и запрет на запуск пользователями агентов зависит от набора доступа, заданного администратором Domino в разделе "Ограничения для агентов" документа сервера в справочнике Domino. Если установить в ТУД флажок "Создание агентов LotusScript/Java" для имени, возможность запуска пользователем агентов на сервере будет определяться документом сервера.
|
| Чтение общих документов |
Установите этот флажок, чтобы разрешить пользователям чтение документов и просмотр представлений и папок с режимом доступа "Доступ для пользователей с доступом к общим документам" на вкладке "Безопасность" диалоговых окон "Формы", "Представления" и "Свойства папок". Этот флажок позволяет давать пользователям с доступом "Нет доступа" и "Корреспондент" возможность просмотра определенных документов, форм, представлений и папок, не наделяя его правом доступа "Читатель". Кроме того, документы, которые требуется сделать общедоступными, должны содержать поле $PublicAccess. Поле $PublicAccess должно быть текстовым и иметь значение "1".
Сведения о применении этой привилегии к почтовым шаблонам и о создании представление и агентов см. в справке Lotus Domino Designer 6. |
| Запись общих документов |
Установите этот флажок, чтобы разрешить пользователям создавать и изменять документы с помощью форм, имеющих режимом доступа "Доступ для пользователей с доступом к общим документам" на вкладке "Безопасность" диалогового окна "Свойства формы". Этот флажок позволяет давать пользователям право на создание и изменение определенных документов без наделения их правом доступа "Автор" или другой аналогичной роли, а также дает пользователям право на создание документов из любой формы базы данных. |
| Репликация или копирование документов |
Установите этот флажок, чтобы разрешить пользователям репликацию и копирование этой базы данных и ее документов на локальный компьютер и в буфер обмена. |
Чтобы добавить пользователя в таблицу управления доступом и задать уровень доступа
Чтобы назначить уровень доступа пользователю, необходимо наличие доступа к базе данных на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Основные", а затем нажмите кнопку "Добавить".
Введите имя пользователя, сервера или группы, которым предоставляется доступ, а затем нажмите кнопку ОК.Совет Щелкните значок пользователя и выберите имя в адресной книге.
Убедитесь, что только что добавленный пользователь выбран в с писке пользователей, а затем в списке "Тип" выберите, является ли он человеком, сервером или группой.
Выберите в списке "Доступ" уровень доступа, который нужно назначить пользователю.
Повторите шаги 3--6, чтобы назначить уровни доступа другим именам.
Примечание Во всех таблицах управления доступом должен быть хотя бы один пользователь, которому назначен доступ на уровне управляющего.
Чтобы переименовать пользователя в таблице управления доступом
Можно переименовать пользователя в таблице управления доступом, если необходимо заменить одно имя пользователя другим.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Основные", а затем в таблице управления доступом выделите пользователя, которого требуется переименовать.
Нажмите кнопку "Переименовать" и введите другое имя пользователя.
Чтобы удалить пользователя из таблицы управления доступом
Чтобы удалить пользователя из таблицы управления доступом, требуется доступ к базе данных на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Основные", а затем в таблице управления доступом выделите пользователя, которого требуется удалить.
Нажмите кнопку "Удалить".
Создание ролей и управление ими
Роли используются для определения групп в базе данных. Можно назначать пользователей и группы ролям, чтобы определить доступ к определенным представления, формам, документам или разделам. Вместо того чтобы назначать доступ определенному пользователю или группе, можно назначить доступ роли, к которой принадлежит этот пользователь или группа. Например, можно использовать роль, дающую доступ к документам с формами, содержащими определенное значение. Только пользователи и группы, которым назначена эта роль, смогут просматривать такие документы.
Прежде чем назначить роль имени в ТУД, необходимо ее создать. Для определения роли необходима координация управляющего и разработчика базы данных для выяснения необходимости роли и определения пользователей, групп и серверов, которым будет назначена эта роль.
Для создания, управления и просмотра ролей необходим доступ на уровне управляющего к ТУД базы данных. Дополнительные сведения по определению ролей пользователей см. в разделе Roles in the ACL справки Lotus Domino Designer 6. Можно также перейти в библиотеку документации на Web-узле Lotus Developer Domain для загрузки или просмотра справочной базы данных Lotus Domino Designer 6.
Примечание Если у вас нет прав на изменение ТУД, вкладка "Роли" не отображается.
Чтобы создать роль
Убедитесь, что в ТУД базы данных у вас имеется доступ на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Роли".
Нажмите кнопку "Добавить" и введите имя для роли.
Чтобы переименовать роль
Убедитесь, что в ТУД базы данных у вас имеется доступ на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Роли".
Выберите роль в списке "Роли" и нажмите кнопку "Переименовать".
Введите новое имя для роли.
Чтобы удалить роль
Убедитесь, что в ТУД базы данных у вас имеется доступ на уровне управляющего.
Откройте базу данных.
Выберите команду: Файл - База данных - Управление доступом.
Откройте вкладку "Роли".
Выберите роль в списке "Роли" и нажмите кнопку Удалить.
Чтобы назначить роль пользователю
Выберите команду: Файл - База данных - Управление доступом.
Щелкните ссылку "Основные".
Выберите имя пользователя или сервера в таблице управления доступом, выберите роль в поле "Роли" в правой части таблицы управления доступом. Рядом с ролями, которым назначен пользователь или сервер, появляется галочка.
Чтобы отменить назначение роли пользователю
Выберите команду: Файл - База данных - Управление доступом.
Щелкните ссылку "Основные".
Выберите имя пользователя или сервера в таблице управления доступом и снимите галочку рядом с ролью, назначение которой пользователю или серверу необходимо отменить.
Чтобы просмотреть журнал изменений, выполненных в таблице управления доступом
При наличии доступа к базе данных на уровне управляющего можно просмотреть хронологический список изменений таблицы управления доступом (ТУД) в любой реплике базы данных. Каждая запись содержит следующие сведения: дату и время изменения; имя лица, внесшего изменение; что было изменено. В списке содержится только 20 строк изменений, а не все изменения.
Для просмотра журнала ТУД необходим доступ на уровне управляющего.
Откройте базу данных, которую требуется проверить.
Выберите команду: Файл - База данных - Управление доступом.
Нажмите кнопку "Журнал" и выберите строку журнала изменений. Весь текст журнала изменений отображается в поле в нижней части диалогового окна.
(Необязательно.) Нажмите кнопку "Копировать", чтобы скопировать журнал изменений в буфер обмена, а затем вставить его содержимое в документ.
Дополнительные параметры в таблице управления доступом
Открыв базу данных, выберите команду: Файл - База данных - Управление доступом, затем откройте вкладку "Дополнительно". На ней можно определить сервер административного процесса, выбрать использование согласованной таблицы управления доступом (ТУД) для всех реплик базы данных, задать поиск в таблице управления доступом типов пользователей для незаданных пользователей, а также задать максимальное имя и пароль для пользователей Интернета.
Выберите раздел:
Чтобы определить административный сервер для базы данных
Обеспечение согласованности таблицы управления доступом
Предельный уровень доступа через Интернет
Чтобы задать тип пользователя, если он не определен ранее
Включение расширенного доступа Расширенный доступ представляет собой дополнительный доступ только для баз данных "Справочник Domino" и "Расширенный каталог справочников". Включите расширенный доступ, чтобы использовать расширенную таблицу управления доступом для ограничения доступа к фрагментам содержимого базы данных. Прежде чем включить средство расширенного доступа, ознакомьтесь со сведениями по расширенным таблицам управления доступом, если у
становлена справочная база данных Lotus Domino Administrator 6. Можно также перейти в библиотеку документации на Web-узле Lotus Developer Domain для загрузки или просмотра справочной базы данных Lotus Domino Administrator 6.
Ограничение доступа к локальным базам данных
Создаваемую на жестком диске локальную базу данных или локальную реплику можно зашифровать, чтобы другие пользователи не могли просматривать эту базу данных. Рекомендуется шифровать локальные базы данных, если они хранятся на переносном компьютере или если на компьютере работает несколько пользователей.
При организации локальной защиты для базы данных, к которой у пользователя имеется доступ на уровне управляющего, Notes выполняет шифрование при помощи общего ключа из учетной записи. Расшифровать базу данных после этого сможет только тот же самый пользователь, поскольку только в его учетной записи имеется соответствующий личный ключ. Никакие другие учетные записи базу открыть не позволят.
Примечание Объем дискового пространства, занимаемого базами данных, для которых задано среднее или сильное шифрование, при использовании программы для уплотнения диска уменьшается незначительно.
Чтобы шифровать локальные базы данных при создании
Notes позволяет установить режим автоматического шифрования создаваемых локальных баз данных.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "БД".
Выберите параметр "Шифровать локально, используя..." и один из перечисленных ниже уровней.
Простое шифрование предоставляет защиту от простого взлома.
Среднее шифрование предоставляет наилучший баланс между безопасностью, уровнем защиты и высокой скоростью доступа к базе данных. Этот уровень подходит большинству пользователей.
Сильное шифрование следует применять только при доминировании требований к безопасности, если при этом скорость доступа остается приемлемой.
Совет Чтобы отключить шифрование локальных баз данных, выберите режим "Не шифровать локально".
Чтобы зашифровать существующие локальные базы данных
Откройте локальную базу данных.
Выберите команду: Файл - База данных - Свойства.
Откройте вкладку "Сведения о БД" и нажмите кнопку "Шифрование".
Выберите параметр "Производить локальное шифрование" и один из перечисленных ниже уровней.
Простое шифрование предоставляет защиту от простого взлома.
Среднее шифрование предоставляет наилучший баланс между безопасностью, уровнем защиты и высокой скоростью доступа к базе данных. Этот уровень подходит большинству пользователей.
Сильное шифрование следует применять только при доминировании требований к безопасности, если при этом скорость доступа остается приемлемой.
(Необязательно.) По умолчанию открыть зашифрованную базу данных позволит только учетная запись пользователя, выполнившего шифрование. Если необходимо предоставить доступ к базе данных другому пользователю, нажмите кнопку "Для" и выберите адресную книгу и этого пользователя.
Предупреждение Если доступ к базе данных предоставляется другому пользователю, пользователь, изначально имеющий доступ, потеряет его.
Совет Чтобы отключить шифрование локальных баз данных, выберите режим "Не шифровать локально".
Защита отдельных документов от чтения или просмотра другими пользователями
Пользователь может защитить свои документы так, чтобы их могли просматривать только он и назначенные им лица, даже если другие лица имеют доступ к базе данных, содержащей эти документы.
Документы также можно шифровать с помощью секретных ключей и общих ключей.
Откройте документ, доступ к которому требуется ограничить.
Выберите команду: Файл - Свойства документа.
Откройте вкладку "Безопасность" (четвертая слева).
Снимите флажок "Все пользователи с уровнем доступа читателя и выше".
Не забудьте выбрать себя в списке пользователей, групп, серверов или ролей для документа. Затем выберите других пользователей, группы, серверы и роли, которым требуется доступ к документу (для выбора из личной адресной книги щелкните значок с изображением пользователя рядом со списком). Если пользователь не выберет себя в списке, он потеряет доступ на чтение документа.
Сохраните документ.
Шифрование документов с помощью секретных ключей
Документы, отправляемые в общедоступную базу данных, можно шифровать с помощью секретного шифровального ключа из учетной записи при условии, что все поля документов допускают шифрование. При создании или изменении документа, для которого было включено шифрование, секретный ключ, который требуется использовать, может быть указан в определении формы или выбран пользователем. Расшифровать данные из документа смогут только пользователи, имеющие такой же ключ. Если этот документ откроет лицо, у которого секретного шифровального ключа нет, зашифрованные данные окажутся недоступными.
Поле, допускающее шифрование, распознается по красным квадратным скобкам. Зашифровать можно только данные, расположенные между красными скобками. Все прочие данные остаются открытыми для всех пользователей, имеющих доступ к документу.
Примечание Почтовые документы могут быть зашифрованы, но с использованием другого механизма. Почтовые документы всегда шифруются общим ключом получателей.
Чтобы зашифровать поле документа, необходимо выполнить следующие действия.
Создайте секретный шифровальный ключ.
Вложите секретный шифровальный ключ в документ.
Отправьте шифровальный ключ пользователям, которые будут читать зашифрованные поля.
Примечание Если вы не работаете с почтой Notes, экспортируйте секретный шифровальный ключ, чтобы пользователь, которому он нужен, смог импортировать его в учетную запись.
Чтобы создать секретный шифровальный ключ
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Нажмите кнопку "Создать секретный ключ".
Введите имя ключа в поле "Имя секретного ключа" в окне "Создание нового шифровального ключа".
(Необязательно.) Поместите в поле "Заметки" примечание о назначении ключа.
Если ключ предназначен для пользователя не североамериканской версии Notes, предшествующей 5.0.4, установите флажок "Использовать международное шифрование".
Нажмите кнопку ОК.
Примечание Сведения о шифровании (для Северной Америки и универсальном) см. в разделе Encryption strength справки Lotus Domino Administrator 6 (если она установлена).
Можно также перейти в библиотеку документации на Web-узле Lotus Developer Domain для загрузки или просмотра справочной базы данных Lotus Domino Administrator 6.
Чтобы выбрать секретный шифровальный ключ для документа
Откройте документ, который необходимо зашифровать.
Выберите команду: Файл - Свойства документа.
Откройте вкладку "Безопасность".
Выберите один или несколько созданных вами секретных шифровальных ключей. Если требуется, чтобы документ могли читать пользователи, не имеющие секретного ключа, укажите их в поле "Общие шифровальные ключи" в разделе "Шифровальные ключи".
Сохраните документ.
Чтобы отправить секретный шифровальный ключ по почте
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите отправляемый ключ в столбце "Имя секретного ключа".
Нажмите кнопку "Отправить секретный ключ".
Введите в поле "Кому" имена адресатов, которым отправляется секретный ключ. (Чтобы выбрать имя из личной адресной книги, нажмите кнопку "Адрес".)
В поле "Копия" введите имена пользователей, которые должны знать о факте отправки ключа, но сами его не получат.
Нажмите кнопку "Отправить".
Чтобы получатель секретного шифровального ключа мог передать его другим пользователям, выберите режим "Разрешить всем абонентам пересылку и экспорт данного ключа". Чтобы не отправлять ключ, нажмите кнопку "Отмена".
Принятие и удаление секретных шифровальных ключей
Секретный ключ используется для шифрования документов. Этот же ключ необходим для расшифровки документа, им защищенного. Полученный секретный шифровальный ключ необходимо принять, чтобы получить возможность читать открываемые с его помощью зашифрованные документы. Принятый ключ сохраняется в учетной записи и позволяет читать зашифрованные документы.
Не нужные более секретные шифровальные ключи можно удалить.
Примечание Для тех, кто не работает с почтой Notes, необходимо вначале экспортировать ключ в доступное место, а затем импортировать его в учетную запись.
Чтобы принять секретный шифровальный ключ
Откройте сообщение, в которое вложен секретный шифровальный ключ.
Выберите команду: Действия - Принять шифровальный ключ.
Нажмите кнопку "Принять".
(Рекомендуется.) После принятия ключа создайте архивную копию или обновите имеющиеся копии учетной записи (не относится к роуминг-пользователям, которым архивные копии учетных записей не нужны).
Чтобы удалить секретный шифровальный ключ
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите удаляемый ключ в списке "Имя секретного ключа".
Выберите команду: в правом нижнем углу диалогового окна команды Другие действия - Удаление секретного ключа.
Чтобы подтвердить удаление, нажмите кнопку "Да".
Чтобы экспортировать секретный шифровальный ключ
Если необходимо передать секретный шифровальный ключ кому-либо, не использующему почту Notes, ключ можно передать на гибком диске или через общую папку, чтобы затем его импортировать.
Экспорт секретного ключа также потребуется для отправки пользователю Notes, который для защиты почты использует сертификаты Интернета и предпочитает получать сообщения в формате MIME.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите в списке "Имя секретного ключа" шифровальный ключ для экспорта.
Выберите команду: Другие действия - Экспорт секретного ключа.
(Необязательно.) Чтобы защитить секретный шифровальный ключ паролем, укажите этот пароль в одноименном поле и подтвердите его в поле "Подтверждение". Если защищать шифровальный ключ паролем не требуется, нажмите кнопку "Без пароля".
(Необязательно.) Если доступ к секретному ключу должен иметь единственный конкретный пользователь, нажмите кнопку "Ограничить использование" и введите составное имя этого пользователя. Чтобы выбранный человек мог передавать ключ третьим лицам, выберите режим "Разрешить этому пользователю пересылку и экспорт ключа".
Укажите каталог и файл для экспорта секретного шифровального ключа и нажмите кнопку "Сохранить".
Чтобы импортировать секретный шифровальный ключ
Чтобы начать использовать экспортированный кем-либо секретный шифровальный ключ, необходимо импортировать его в учетную запись.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Данные Notes", а затем - вкладку "Документы".
Выберите команду: Другие действия - Импорт секретного ключа.
Укажите каталог и файл с секретным шифровальным ключом, а затем нажмите кнопку "Открыть".
Нажмите кнопку "Принять" в окне "Принятие секретного шифровального ключа".
Как общие и личные ключи используются для шифрования и подписывания почты
При шифровании данных, а также при проверке цифровых подписей Notes использует набор из общего и личного ключей. Оба ключа связаны между собой и являются уникальными для каждой учетной записи. Общий ключ хранится в сертификате Notes. Копии сертификата, в свою очередь, находятся в учетной записи и в справочнике Domino. Личный ключ хранится только в файле учетной записи.
При отправке пользователю зашифрованных данных все остальные используют общий ключ из сертификата, находящегося в справочнике Domino. Для расшифровки таких данных необходим личный ключ из учетной записи.
Различные типы общих и личных ключей
Пара, состоящая из общего и личного ключей, используется в Notes; аналогичные пары ключей имеются также у каждого сертификата Интернета. Ключи Notes необходимы для шифрования данных, которыми обмениваются пользователи Notes. Ключи Интернета используются для отправки и приема почтовых сообщений S/MIME, а также для шифрования SSL-транзакций между Notes и серверами Интернета.
В каждую созданную учетную запись Notes автоматически включены общий и личный ключи. Общий и личный ключи Интернета могут быть добавлены в учетную запись администратором Domino при регистрации либо получены позднее.
Чтобы просмотреть сертификаты, находящиеся в учетной записи, выберите команду: Файл - Безопасность - Безопасность пользователя, а затем откройте вкладку "Идентификация - Сертификаты" и выберите в раскрывающемся списке значение "Все сертификаты". В окне появится список всех сертификатов и сохраненных ключей (ключи, соответствующие удаленным сертификатам, которые могут потребоваться для расшифровки данных).
Как работает набор из общего и личного ключей?
Общий ключ доступен всем и может использоваться для отправки пользователю зашифрованной почты и для проверки подлинности.
Входящие почтовые сообщения шифруются при помощи общего ключа, а расшифровываются при помощи личного ключа. Цифровая подпись в почтовых сообщениях ставится при помощи личного ключа, а проверяется при помощи общего ключа. Любые данные, зашифрованные при помощи общего ключа пользователя, необходимо расшифровывать при помощи его личного ключа, и наоборот. Личный ключ пользователя, однако, является секретным. В то время как общий ключ доступен всем, личный ключ недоступен никому, кроме вас.
Шифрование и подписывание сообщений электронной почты
При желании в Notes нетрудно установить режим подписывания и шифрования всех сообщений электронной почты, отправляемых пользователям Notes или через Интернет, что позволит не устанавливать этот параметр вручную. Цифровые подписи представляют собой электронные эквиваленты обычных подписей, но их сложнее подделать. Цифровая подпись в Notes создается при помощи личного ключа, а затем проверяется при помощи общего ключа. Если в сообщение электронной почты вложена цифровая подпись, составное имя отправителя отображается в строке состояния получателя, указывая таким образом, что сообщение отправлено с помощью учетной записи.
Для шифрования и подписывания сообщений, отправляемых через Интернет, необходимо наличие сертификата Интернета.
При работе с папкой исходящих сообщений в автономном режиме исходящую и входящую почту можно также шифровать, если в организации используется каталог справочников для работы в удаленном режиме.
Примечание Обычно в качестве подписи служит имя пользователя с рисунком или сведения об отделе, которые отображаются в основном тексте сообщения. Этот тип подписи ничего общего с цифровой подписью не имеет.
Чтобы подписывать исходящие почтовые сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "Подписывать исходящую почту" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Чтобы шифровать исходящие почтовые сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "Шифровать исходящую почту" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Чтобы шифровать сохраненные почтовые сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "Шифровать сохраненные копии отправленных сообщений" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Чтобы шифровать незашифрованные входящие сообщения
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Почта".
Установите флажок "При получении незашифрованного сообщения зашифровать его перед сохранением в почтовом файле" в разделе "Параметры безопасности, применяемые ко всей почте Notes".
Примечание При отсутствии доступа на уровне автора к личной учетной записи в справочнике Domino этот флажок недоступен. В этом случае обратитесь к администратору.
Создание новых общих ключей
Если учетная запись утеряна, или кто-то воспользовался ее для доступа к данным пользователя, необходимо изменить пароль и создать новый общий ключ (новый многоцелевой сертификат Notes и новый универсальный сертификат для шифрования). Общий ключ находится в сертификате, хранящемся в учетной записи и справочнике Domino, и используется для шифрования отправляемых пользователю данных. Если другое лицо получило доступ к учетной записи пользователя, личного ключ из нее позволит при желании расшифровать зашифрованные данные. Создание нового общего ключа позволит защитить данные, которые должны быть доступны только самому пользователю. Наличие нового ключа не устраняет опасность прочтения данных, зашифрованных с помощью старых ключей, любым лицом, завладевшим учетной записью. Однако к данным, зашифрованным с помощью нового ключа, это не относится.
Ключ также используется для создания цифровой подписи при подписывании почтовых сообщений и других документов Notes. Если учетная запись была украдена, необходимо сразу же получить новый ключ, позволяющий Notes создать новую цифровую подпись. Все остальные смогут проверить подпись с помощью нового общего ключа, который подтвердит, что сообщение исходит именно от вас, а не от лица, завладевшего вашей учетной записью.
При запросе новых общих ключей Notes создает для пользователя общий ключ и личный ключ; новый общий ключ также отправляется администратору в почтовом сообщении. На его основе администратор создает для пользователя новые сертификаты, содержащие новые личные ключи. (Каждый из сертификатов содержит новый ключ и срок его действия. Все остальные параметры, включая имя пользователя, остаются теми же самыми.) Отправленный администратором пользователю сертификат с новыми общими ключами добавляется в учетную запись.
Примечание При работе с простой учетной записью создать новый общий ключ самостоятельно нельзя. Вместо этого следует запросить новые простые сертификаты Notes.
Чтобы создать новый общий ключ
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность", а затем нажмите кнопку "Безопасность пароля нарушена" в разделе "Настройка подключения и пароля".
Нажмите кнопку "Создать общие ключи" в окне "Что делать, если безопасность вашего пароля была нарушена".
Если общие ключи уже были отправлены, и необходимо отправить их новый набор, придется нажать кнопку "Новый набор". Если общие ключи уже были отправлены, и необходимо отправить их заново, придется нажать кнопку "Отправить заново".
Нажмите кнопку "Далее".
Введите имя администратора Domino в поле "Кому" и отправьте учетную запись по почте вместе с новыми общими ключами. (Чтобы выбрать имя из личной адресной книги, нажмите кнопку "Адрес".) Если это имя доступно, при подключении к сети оно само появится в поле "Кому".
Нажмите кнопку "Отправить".
Когда администратор пришлет по почте новый сертификат, откройте сообщение и выберите команду: Действия - Принять сертификат.
Примечание Сразу же после начала процедуры создания новых общих ключей, Notes помечает запрошенные ключи как "ждущие", так как требуется вмешательство администратора. После того как ключи будут заверены администратором, а также получены и приняты пользователем, ждущие ключи превращаются в текущие. Набор старых ключей в учетной записи Notes сохраняется, что позволяет расшифровывать сообщения, зашифрованные с их помощью. Чтобы просмотреть сохраненные ключи, выберите команду: Файл - Безопасность - Безопасность пользователя, а затем откройте вкладку "Идентификация - Сертификаты" и выберите в раскрывающемся списке "Сохраненные ключи Notes".
Чтобы запросить новый общий ключ с помощью гибкого диска или с другого почтового приложения
Чтобы запросить общий ключ по почте или через гибкий диск, необходимо создать защищенную копию учетной записи и отправить ее администратору. Сведений, содержащихся в защищенной копии, достаточно для заверения новых ключей, но недостаточно для злонамеренного использования. Данный способ нужен тем, кто не работает с почтой Notes, либо если попытка запроса ключей по почте Notes окончилась неудачно.
Если используется гибкий диск, вставьте его в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Безопасность", а затем нажмите кнопку "Безопасность пароля нарушена" в разделе "Настройка подключения и пароля".
Нажмите кнопку "Создать общие ключи" в окне "Что делать, если безопасность вашего пароля была нарушена".
Если общие ключи уже были отправлены, и необходимо отправить их новый набор, придется нажать кнопку "Новый набор". Если общие ключи уже были отправлены, и необходимо отправить их заново, придется нажать кнопку "Отправить заново".
Нажмите кнопку "Экспорт учетной записи" в окне "Подтверждение новых общих ключей".
Выберите папку на гибком диске или папку, к которой имеется доступ из почтовой программы, в окне "Имя защищенной копии учетной записи".
Перейдите на дисковод, в который вставлен гибкий диск.
Введите имя файла защищенной копии учетной записи пользователя в поле "Имя файла" (пользователи Macintosh - в поле "Save As"). По умолчанию он называется SAFE.ID
Нажмите кнопку "Сохранить" и закройте окно "Подтверждение новых общих ключей".
Передайте гибкий диск администратору Domino или вложите защищенную копию учетной записи в почтовое сообщение и отправьте его администратору.
После получения диска обратно необходимо импортировать общий ключ в учетную запись.
Чтобы заново отправить администратору запрос на новый общий ключ
After having sent an initial request for new public keys, If you haven't received an e-mail from your administrator containing your new certificates, or if you need to resubmit a new request to your administrator, you can resubmit the same request you made to get a new public key. Повторная отправка имеющегося запроса целесообразна, если нельзя исключить, что администратор уже начал обрабатывать предыдущий запрос. Повторный запрос послужит напоминанием администратору. Если же вместо него отправить новый запрос, любая уже проделанная администратором работа потеряет смысл.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В раскрывающемся списке выберите значение "Ваши сертификаты Notes".
Выберите ждущий ключ для отправки администратору и выберите команду: Дополнительные действия - Повторить запрос на заверение ждущих ключей.
При работе с почтой Notes выполните шаги 4--8 процедуры Чтобы создать новый общий ключ.
Если используется гибкий диск или другая почтовая программа, выполните шаги 5--12 процедуры Чтобы запросить новый общий ключ с помощью гибкого диска или с другого почтового приложения.
Передача своего сертификата Notes другим пользователям
Опубликование содержащего общие ключи сертификата позволит другим пользователям шифровать отправляемые пользователю данные. Сертификат можно опубликовать в справочнике Domino или отправить конкретным лицам, которые поместят их в свои личные адресные книги. Способ публикации общего ключа зависит от того, используете ли вы почту Notes.
Чтобы отправить сертификат по почте
Пользователь почты Notes, которому нужно опубликовать сертификат с общим ключом в справочнике Domino, может отправить сертификат по почте администратору для его последующей публикации. Отправка сертификата администратору другого домена Notes позволит сделать сертификат доступным в справочнике этого домена. Альтернатива состоит в отправке сертификата непосредственно конкретным лицам.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Дополнительные действия - Копировать или отправить по почте сертификат (общий ключ).
Нажмите кнопку "Отправить сертификат".
В поле "Кому" введите имя администратора или конкретного пользователя (чтобы выбрать его из личной адресной книги, нажмите кнопку "Адрес").
(Необязательно.) Чтобы защитить почтовое сообщение, содержащее общий ключ, установите флажки "Подписать" и "Шифровать".
Нажмите кнопку "Отправить".
Чтобы скопировать сертификат на гибкий диск
Если человеку, не работающему с почтой Notes, нужно опубликовать сертификат с общим ключом в справочнике Domino, сертификат следует скопировать на гибкий диск и передать администратору для последующей публикации. Можно также передать гибкий диск непосредственно конечному пользователю.
Вставьте гибкий диск в дисковод.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В правой части диалогового окна выберите команду: Дополнительные действия - Копировать или отправить по почте сертификат (общий ключ).
Нажмите кнопку "Копировать сертификат", чтобы скопировать ключ в буфер обмена операционной системы.
Нажмите кнопку ОК.
Отобразите содержимое буфера обмена.
Сохраните сертификат в файле на гибком диске.
Передайте дискету с сертификатом одному или нескольким администраторам Domino или конкретным пользователям.
Чтобы удалить ждущие общие ключи Notes
Ненужные ждущие ключи Notes можно из учетной записи удалить. Сами такие ключи появляются при запросе новых общих ключей Notes. Если решение об обновлении сертификатов с помощью новых ключей было отменено, ждущие ключи Notes оказываются лишними. Так как они заведомо не могли быть использованы, их удаление ничем не грозит если, конечно, запрос новых ключей не следует продолжить.
При удалении сохраненного ключа реально удаляется сразу пара ключей: для Северной Америки и универсальный.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Идентификация", а затем - вкладку "Сертификаты".
В раскрывающемся списке выберите значение "Ваши сертификаты Notes".
Выберите удаляемый ждущий ключ и выберите команду: "Дополнительные действия - Удалить из файла учетной записи".
Ограничение доступа на выполнение с помощью таблицы управления действиями
Для защиты рабочей станции можно указать различные уровни доступа на выполнение для различных пользователей или других держателей сертификатов, выполняющих программы и формулы Notes. Так, например, имеется возможность предоставить полные права доступа администратору Domino, ограничив при этом доступ на выполнение анонимных макросов и формул.
По умолчанию подписанные и анонимные защищенные операции для программ, кодов и формул, не указанные в таблице управления действиями, не могут быть выполнены на рабочей станции без отображения диалогового окна Оповещение системы защиты. Однако программы и формулы запускаются из любых баз данных, созданных с помощью стандартных шаблонов Notes и подписанных "Lotus Notes Template Development/Lotus Notes". Эта подпись по умолчанию имеет полный доступ на выполнение, но ее запись можно изменить или ограничить в ТУДв.
Примечание Чтобы просмотреть журнал оповещений системы защиты и изменений ТУДв, откройте представление "Различные события" в журнале Notes (log.nsf).
Чтобы изменить таблицу управления действиями
Если администратор не ограничил возможность внесения изменений в таблицу управления действиями, можно изменить свою таблицу, чтобы ограничить доступ на рабочую станцию. Можно ограничить или расширить доступ к подписанным Java-программам, приложениям JavaScript и LotusScript.
Примечание Возможность администратора обновлять таблицу управления действиями управляется самой ТУДв. Если на вкладке "Действия других - Использование рабочей станции" окна "Безопасность пользователя" снят флажок "Изменение вашей ТУД", динамическое обновление администратора приведет к оповещению системы защиты. Если запретить это обновление в ТУДв, действие, которое администратор попытается изменить в ТУДв, не будет изменено. За дополнительными сведениями обратитесь к администратору.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Действия других", затем откройте вкладку "Использование рабочей станции", "Использование Java-программ" или "Использование JavaScript".
(Необязательно.) Чтобы добавить элемент в список "Для n, подписанного ", нажмите кнопку "Добавить", введите имя пользователя или держателя сертификата, например /Acme. (Щелкните значок пользователя и выберите имя из личной адресной книги.) Затем нажмите кнопку ОК. Затем можно определить уровень доступа для этого элемента.
(Необязательно.) Чтобы изменить элемент списка "Для n, подписанного" или ввести новое имя, выделите его и нажмите кнопку "Переименовать". Чтобы удалить элемент из списка; нажмите кнопку "Удалить". Затем нажмите кнопку OK.
Выберите пользователя или другого держателя сертификата, для которого требуется задать доступ.
Установите флажки типов доступа, которые требуется предоставить данному держателю сертификата.
Совет При совместном использовании компьютера каждый пользователь может настроить собственную таблицу управления действиями. Таблица управления действиями для каждой учетной записи пользователя уникальна.
Чтобы инициализировать таблицу управления действиями в соответствии с настройкой администратора
Пользователь может инициализировать таблицы управления действиями в соответствии с предоставленной ему настройкой администратора.
Выберите команду: Файл - Безопасность - Безопасность пользователя. Пользователи Macintosh OS X: Notes - Security - User Security.
Откройте вкладку "Действия других", а затем откройте вкладку "Использование рабочей станции", "Использование Java-программ" или "Использование JavaScript".
Нажмите кнопку "Обновить все".
Параметры безопасности таблицы управления действиями
В Notes можно задавать параметры безопасности для следующих трех объектов.
Безопасность рабочей станции
Java-программа
JavaScript
Параметры безопасности рабочей станции
Выберите нужные из следующих прав доступа при определении доступа к данным на рабочей станции для активного содержимого, такого как базы данных Notes.
| Разрешить доступ к объектам
| Если разрешен, формулам и программам разрешено
|
|---|
| Файловая система |
Вложение, извлечение, чтение и запись из файлов рабочей станции. |
| Внешнее приложение |
Запуск классов LotusScript и библиотек DLL, неизвестных Notes. |
| Текущая БД |
Чтение и изменение текущей базы данных. |
| Переменные среды |
Использование переменных @SetEnvironment и @GetEnvironment, а также методов LotusScript для доступа к файлу NOTES.INI. |
| Сеть |
Привязка и принятие подключений через порты вне диапазона 0 - 1024 и установка подключений к другим серверам. |
| Внешние программы |
Доступ к другим приложениям, включая активацию любого объекта OLE. |
| Базы данных, созданные вне Notes; |
Использование @DBLookup, @DBColumn и @DBCommand для доступа к базам данных, когда первый параметр этих @-функций является драйвером базы данных другого приложения. |
| Разрешить действия |
Если разрешен, формулам и программам разрешено |
| Отправка почты |
Использование функций, таких как @MailSend, для отправки почты. |
| Чтение других БД |
Чтение сведений из других баз данных. |
| Изменение вашей ТУД |
Изменение ТУДв. |
| Экспорт данных |
Печать, копирование в буфер обмена, импорт и экспорт данных. |
| Изменение других БД |
Изменение сведений в других базах данных. |
Параметры Java-программы
Выберите нужные из следующих прав доступа при определении доступа к данным на рабочей станции для Java-программ, запускаемых в Notes.
| Разрешить доступ к объектам
| Если разрешен, программам разрешено
|
|---|
| Файловая система |
Чтение и запись файлов в локальной файловой системе. |
| Java-классы Notes |
Загрузка и вызов объектов Domino для Java и CORBA. |
| Сетевые адреса |
Привязка и принятие подключений через порты вне диапазона 0 - 1024 и установка подключений к другим серверам. |
| Печать |
Отправка заданий на печать. |
| Свойства системы |
Чтение свойств системы, таких как параметры цветов и переменные среды. |
| Доступ к буферу обмена и окнам |
Доступ к буферу обмена системы. При этом также отключается сообщение о безопасности, отображаемое в окне верхнего уровня, которое показывает, что окно создано Java-программой. Это сообщение о безопасности напоминает пользователям, чтобы они не вводили конфиденциальные сведения в диалоговое окно, которое, например, может потребовать ввода имени и пароля пользователя. |
| Доступ на уровне процесса |
Создание потоков и групп потоков, ветвление и запуск внешних процессов, загрузка и связь с внешними библиотеками, доступ к закрытым членам классов с использованием отражения ядра Java, а также доступ к очереди событий AWT. |
Параметры JavaScript
Данные права управляют доступом к данным на рабочей станции для программы JavaScript, запускаемой в клиенте Notes, в Notes из или на Web-странице, отображаемой браузером Notes. Эти права не управляют программой JavaScript, запускаемой другими браузерами, включая браузер Microsoft Internet Explorer, даже если браузер внедрен в клиент Notes.
Параметры таблицы управления действиями JavaScript задают возможность (или невозможность) чтения и/или изменения программой JavaScript свойств JavaScript объекта Window. Можно разрешить доступ с возможностью чтения и записи свойств объекта Window. Являясь объектом наивысшего уровня в объектной модели документа JavaScript, объект Window имеет свойства, применяемые ко всему окну. Безопасность доступа к объекту Window обеспечивает безопасность доступа к другим объектам на странице, поскольку программа JavaScript не имеет доступ к объектам, расположенным ниже в иерархии объектной модели, не имея доступа к объекту Window.
Классы объектов Window представлены в следующей таблице.
| Класс объекта окна
| Описание
| По умолчанию
|
|---|
| Исходное окно |
Управление доступом JavaScript к объекту окна на той же странице, что и программа JavaScript. При выборе этого параметра программа JavaScript привязывается непосредственно к объекту исходного окна, поэтому данный параметр ТУДв не действует. |
Разрешить доступ на чтение и запись |
| Другое окно того же узла |
Управление доступом JavaScript к объекту окна на другой странице из программы JavaScript, но со страницы того же узла. Например, программа JavaScript на странице www.lotus.com может обращаться к объекту окна другой страницы www.lotus.com. Это позволяет двум страницам взаимодействовать, если они находятся в одном наборе рамок. |
Разрешить доступ на чтение и запись |
| Другое окно другого узла |
Управление доступом программы JavaScript к объекту окна на другой странице в пределах одного набора рамок другого узла. Например, программа JavaScript на странице www.lotus.com может обращаться к объекту окна страницы любого другого сервера.Примечание Включение этого параметра представляет большую угрозу безопасности, поскольку возможен доступ злонамеренной программы с одной страницы к данным на другой странице.
|
Доступ на чтение и запись запрещен |
Два дополнительных параметра таблицы управления действиями определяют, может ли программа JavaScript, запущенная в клиенте Notes, открывать новую Web-страницу или документ Notes. Можно включить открытый доступ для этих параметров, представленных в следующей таблице.
| Параметр
| Описание
| По умолчанию
|
|---|
| URL на том же узле |
Управление доступом для открытия страницы документа Notes на том же узле, что и программа JavaScript. |
Открытие разрешено |
| URL на другом узле |
Управление доступом для открытия страницы документа Notes на другом узле по отношению к программе JavaScript. |
Открытие запрещено |
