具有完全权限的管理员”的功能介绍

“具有完全权限的管理员”具有哪些权限？
“具有完全权限的管理员”具有对服务器的最高管理存取级别。“具有完全权限的管理员”具有下列权限：
l 所有管理员存取级别拥有的所有权限。
l 对于服务器上所有数据库的管理者权限，并启用所有的角色和访问权限（忽略数据库 ACL 的设置）。
l 对于 Web Administrator 数据库 (WEBADMIN.NSF) 的管理者权限，并启用所有的角色和访问权限。
l 对于所有数据库中的所有文档的访问权限（忽略“读者姓名”域）。
l 创建不受限代理的能力。
l 忽略“强制所有复本使用一致的存取控制列表”的设置。
l 对于服务器上任何未加密数据的访问。
注意 “具有完全权限的管理员”不允许访问加密数据。需要使用指定用户的私有密钥来解密使用公用密钥加密的文档。同样地，也需要用加密密钥来解密使用加密密钥加密的文档。

如何启用具有完全权限的管理员？
l 管理员的名称必须列在“服务器”文档－〉“安全性”附签－〉“管理员”区段－〉“具有完全权限的管理员”域中。缺省情况下，此域为空。
l 打开Administrator 客户机，通过选择菜单“管理”－〉“完全访问管理”启用“完全访问管理”模式。如果此模式未启用，即使管理员在“服务器”文档中作为“具有完全权限的管理员”列出,他也无法获得对服务器的完全管理员权限。此时用户将只具有管理员权限。如果启用了“具有完全权限的管理员”模式，则客户机的窗口标题、附签标题和状态栏会指示该模式。这是为了提醒用户他们正在使用最高的权限级别访问服务器，操作时应小心。如果管理员在管理客户机中启用了完全管理模式，则也会为 Domino Designer 和 Lotus Notes 客户机启用此模式。完全管理员权限也会在窗口标题、附签标题和状态栏中反映出来。
l 此模式下，当用户访问服务器并打开会话时，客户端会向服务器请求一个完全访问管理的标志。
l 此模式下，当用户访问多个服务器时，客户端会向被访问的各个服务器请求完全访问管理的标示。服务器接到请求后，会检查此用户的名字是否列在服务器文档的具有完全权限的管理员的域中，因此，根据服务器文档的设置，有些服务器会授予该用户完全访问权限，但有些服务器不会。这些信息都会记录在服务器的主控台和log.nsf中。

日志记录：
当用户启用了“完全访问管理”模式，服务器会记录以下信息：
"Jane Doe/Full Admin/Acme was granted full administration access"
当用户尝试启用“完全访问管理”模式，但是失败了，服务器会记录以下信息：
"Jane Doe/Full Admin/Acme was denied full administration access"
如果启用了数据库属性的用户活动日志，管理员对每个数据库的访问情况会记录这个日志中。

管理“具有完全权限的管理员”功能的一些可行做法
l 创建一个特殊的“完全管理员”标识符文件（如“Full Admin/Sales/Acme”），且仅将该名称置于“完全管理员”域中。用户必须使用此标识符登录或切换至此用户标识符以获得完全管理员权限。或者，可以设置此标识符文件要求多个口令。
l 创建 OU 级别验证者以授予完全管理员权限，并向受信任的管理员（如 Jane Admin/Full Admin/Acme）发布相应的标识符。
l 保留“具有完全权限的管理员”域为空。出现紧急情形再添加受信任的个人的姓名，并在该情形解决后将其删除。
l 只将有限的受信任管理员的名字填入“具有完全权限的管理员”域。
l 使用EACL（扩展存取控制列表）设置来限制管理员修改这个域的值。
l 使用Notes.ini参数SECURE_DISABLE_FULL_ADMIN=1可以禁用这个功能。

注意：此项可以用用户名，群组，或通配符（例如：*/Full Admin/Acme）以及它们的组合来填写。

为什么说这个功能可以更安全的解决存取控制问题？
l 不需要用户物理的访问服务器，这样才可能对用户访问服务器的活动进行监控。
l 服务器会记录所有“具有完全权限的管理员”的动作。
l 在调用“具有完全权限的管理员”权限时，可以通过配置事件处理程序以发送通知。
l 使用“具有完全权限的管理员”权限完成的数据库活动会记录在“数据库属性”下的数据库活动日志中。

注意事项：
l “具有完全权限的管理员”权限在每次启动管理客户端之后必须重新启用。
l 在管理客户端启用了“具有完全权限的管理员”权限之后，用户必须关掉所有数据库窗口以使改动生效。
l 在管理客户端启用“具有完全权限的管理员”权限不需要重启Domino服务器。

禁用“具有完全权限的管理员”功能
可以通过在NOTES.INI文件中设置参数SECURE_DISABLE_FULLADMIN=1来禁用“具有完全权限的管理员”域。此设置会禁用“具有完全权限的管理员”权限并忽略在“服务器”文档的该域中列出的任何名称。此参数只能由对服务器具有物理访问权限的用户（该用户必须可以编辑服务器的 NOTES.INI 文件）设置。此参数不能使用服务器控制台、远程控制台设置，也不能在“服务器”文档中设置。

参考资料:Domino R6管理帮助－限制管理员访问