Coffee Wu1. Domino数据库ACL基础概念解析
在Domino平台中，ACL（Access Control List）是数据库安全体系的核心组件。作为Notes/Domino管理员，我每天都要和ACL打交道。简单来说，ACL就是数据库的"门禁系统"，它精确控制着"谁能进"、"能进到哪"以及"进去后能干什么"这三个关键问题。
每个Domino数据库都拥有独立的ACL配置，存储在数据库的隐藏设计元素中。与操作系统层面的文件权限不同，Domino ACL具有更细粒度的控制维度。典型的ACL条目包含以下要素：
- 用户/用户组/服务器名称
- 访问级别（管理者、设计者、编辑者等）
- 具体权限标志（创建文档、删除文档等）
- 角色分配（可选）
重要提示：ACL修改是实时生效的，不需要重启服务器或刷新数据库。但客户端可能需要重新打开数据库才能看到权限变化。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 查看单个数据库ACL的三种实战方法
2.1 通过Notes客户端图形界面查看
这是最直观的方式，适合快速检查个别数据库：
- 在Notes客户端中打开目标数据库
- 点击菜单：文件 → 数据库 → 访问控制
- 在弹出的ACL对话框中，可以查看完整的权限列表
界面左侧显示所有被授权的实体（个人/群组/服务器），右侧显示对应的访问级别和特殊权限。通过底部的"高级"选项卡，还能查看角色分配情况。
2.2 使用服务器控制台命令
当需要远程检查或批量操作时，控制台命令更高效：
bash复制tell http show acl 数据库名.nsf
这条命令会返回类似如下的信息：
code复制数据库：projects.nsf
默认访问：读者
ACL条目：
CN=Admin/O=Org 管理者 [删除文档][创建文档]
LocalDomainServers 管理者 [所有权限]
Default 读者 [无]
2.3 通过LotusScript编程获取
对于需要集成到管理工具的场景，可以使用以下脚本：
vb复制Dim db As NotesDatabase
Dim acl As NotesACL
Dim entry As NotesACLEntry
Set db = New NotesDatabase("", "mail\user.nsf")
Set acl = db.ACL
For i = 1 To acl.Entries.Count
Set entry = acl.Entries.GetNthEntry(i)
Print entry.Name & " - " & entry.Level & " - " & entry.Roles
Next
3. 批量导出所有数据库ACL信息的自动化方案
在企业环境中，我们经常需要审计整个Domino服务器的权限配置。以下是经过实战验证的完整方案：
3.1 准备工作
- 确保有足够的服务器访问权限（至少需要"完全访问管理员"角色）
- 准备一个专门用于存储报告的数据库（建议使用ACLReport.nsf）
- 安装Domino Administrator客户端
3.2 使用ACL导出工具
Domino自带的管理工具可以生成CSV格式的报告：
- 打开Domino Administrator
- 选择"文件" → "工具" → "数据库" → "分析"
- 在"分析类型"中选择"ACL"
- 指定目标服务器和数据库选择范围
- 设置输出文件路径（如\fileserver\acl_reports\202405.csv）
3.3 自定义脚本方案
对于更复杂的需求，可以使用这个增强版批处理脚本：
bash复制@echo off
set SERVER=domino01/org
set OUTPUT=\\share\acl_reports\%date:~0,10%.txt
echo 开始ACL导出 %date% %time% > %OUTPUT%
echo ================================= >> %OUTPUT%
for /f "tokens=1" %%i in ('dir /b d:\domino\data\*.nsf') do (
echo 正在处理 %%i >> %OUTPUT%
tell http show acl %%i >> %OUTPUT%
echo. >> %OUTPUT%
)
4. ACL管理中的常见问题与解决方案
4.1 权限继承失效问题
症状：子文件夹中的数据库没有继承父文件夹的ACL设置
排查步骤：
- 检查数据库的"继承父ACL"选项是否启用
- 确认没有在数据库本地ACL中设置"禁止继承"
- 验证父文件夹ACL中是否包含服务器名称
4.2 匿名访问配置
需要允许匿名访问时（如Web应用）：
- 在ACL中添加"Anonymous"条目
- 设置适当的访问级别（通常为"读者"）
- 确保服务器文档中的"允许匿名访问"已启用
4.3 多域环境下的ACL同步
跨域管理时要注意：
- 使用完全限定的名称（如CN=User/O=Org2）
- 在Domino目录中建立跨域认证
- 考虑使用群组而不是单独用户来简化管理
5. ACL安全最佳实践
根据我管理大型Domino环境的经验，推荐以下安全准则：
-
最小权限原则：
- 默认访问级别设为"读者"或"不能访问者"
- 仅授予必要的权限（避免滥用"管理者"级别）
-
定期审计：
- 每月导出全服务器ACL报告
- 重点关注具有"管理者"权限的非管理员账户
-
命名规范：
- 为功能角色创建专用群组（如"HR-审批者"）
- 避免直接使用个人名称分配权限
-
文档级安全补充：
- 对敏感字段使用Readers字段
- 结合视图限制增强安全控制
-
变更管理：
- 所有ACL修改必须通过工单系统
- 重大变更前备份ACL配置（使用dbcache命令）
在最近一次安全审计中，我们发现一个常见误区：许多管理员过度依赖"管理者"权限，而忽略了更精细的角色分配。实际上，在90%的场景中，"设计者"或"编辑者"级别配合特定权限标志就足够了。