lotus 权限控制

Notes的权限设置很多，最主要的有：

先服务器级的权限设置（在服务器文档中设置），

再是数据库级的权限设置（在ACL中设置），

再是文档级的权限设置（文档的读者域和作者域）

另外Lotus的权限设置除了深入到文档级别外，在文档内部还可以根据段落或域(Field)来设置权限。

1、存取级别——共七级
（1）不能存取者：对数据库没有操作权限，包括不能将数据库的图标添加到工作台上
（2）存放者：具有创建文档的权限，有点象投票箱，将写好的文档往数据库中放，放好后，不能对此文档做任何操作，包括查看也不行
（3）读者：能读数据库中的文档，具体能读哪些文档要看文档的读者域，如果读者域中包括此用户的名称，就能读，否则，就不能看
（4）作者：能修改自己创建的文档。对具体文档是否有读权限，看文档的读者域；能不能改文档，看文档的作者域，如果作者域中包括此用户的名称，就能改。对于作者权限的用户，如果在ACL中将“创建文档”选上，说明此用户具有“新建文档”的权限
（5）编辑者：能修改数据库中所有能看到的文档，这比作者权限要大。对于作者来说，只能改能看到的文档（即作者域中包括此用户名称的那部分文档）
（6）设计者：对于数据库中的文档的操作权限与编辑者相同，除此之外，还可以对设计元素进行操作，如：增、删、改。
（7）管理者：数据库的管理员。对文档的操作权限与编辑者相同，对设计元素的操作权限与设计者相同，除此之外，还可以：修改ACL、及在notes客户端删除数据库。
一般情况下，将数据库所在的服务器及其同网络域的服务器组“LocalDomainServers”设为此权限；同时，每个数据库至少有一个是用户类型的管理者，通常会把Domino服务器的管理员设为数据库的管理者。

2、用户类型
在分配权限的同时，还得正确设置用户的类型，属于服务器/服务器组类型的用户，可以在后台对数据库做相应操作；属于个人/个人组类型的用户，可以前台对数据库做相应的操作。
未确定：是给default和anonymous用的，指没在ACL中列出的那些用户的权限设置

3、角色
对数据库中的某些操作在程序中做进一步的控制。比如：审批，只有具有审批角色的用户才有审批权。在程序中对某些权限操作采用角色方式，将权限分配权交给用户，使得以后在人事变动时，不需去修改程序
需要注意的是：在新建角色时，只需输入方括号（“[]”）里边的内容即可，不需输入方括号。

4、管理服务器设置
由哪台服务器来管理此数据库。当管理进程需要对数据库进行操作时，管理进程只会对已经设置了管理服务器的那些数据库进行操作。比如：删除了一个用户，管理进程会去检查服务器上已设置了管理服务器的所有数据库的ACL，查看是否包含此用户信息，一旦找到，将删除。
最好为服务器上的所有数据库设置管理服务器。

5、所有复本使用相同的存取控制列表
只针对有复本存在的数据库有效。如果当前数据库在本地或其它服务器上存在复本，这些复本的ACL将保持相同。这个设置主要是为了防止用户在本地（或以本地方式）修改ACL。

作者域是一个域类型为作者类型的域，它是用来控制文档的作者的。作者域不能控制到ACL编辑者以上的权限，拥有编辑者或编辑者以上权限的，不管该文档中的作者域是否有它。作者域只能控制作者或作者以下的权限。你只须将名字，角色，群组放到作者域的公式中就可以了。 

读者域是一个域类型为读者类型的域，它是用来控制文档的读者的。读者域能控制到ACL的任何权限，即使它是管理者。也就是说，只要读者域里没有他，即使他是管理者也不能看到该文档。编程方法同作者域。

为数据库定义 ACL 后，可以按这些步骤定义一个角色。角色对一个数据库是特定的。在数据库中最多可以创建 75 个角色。
1、选定数据库。
2、选择“文件”“数据库”“存取控制”。
3、单击“角色”图标。
4、单击“增加”。
5、为新角色键入一个名称并单击“确定”。存取角色的名称出现在方括号 [ ] 中。
6、如果希望在角色的 ACL 中指定一个名称，请单击“基本”图标。
7、选择希望包括在角色中的名称，然后在“角色”框中选择一个角色以显示复选标记。

注意:
•如果希望从角色中删除一个名称，请选择名称并单击角色以删除复选标记。
•可以重命名并删除角色。
•定义角色后，数据库设计者可以创建使用角色的数据库存取控制列表。
•创建数据库时，可以给用户或服务器的子集对指定数据库组件的存取权限。
•角色是定义用户或服务器的子集或用户和服务器的方法。数据库管理者首先创建角色，然后设计者选择要在指定数据库组件的存取控制列表中包括的角色。
•定义角色要求数据库管理者和设计者之间的协调。管理者必须告诉设计者以确定一个角色是否必需以及用户或服务器是否应当在角色中列出。
•如果有数据库的复本拷贝，则指定任何复制服务器的角色以确保所有信息在服务器间复制是很重要的。 
使用角色的优点
在角色中修改名称比在个人名称中容易而且快速。如果希望更改个人名称，则必须不仅要更新使用个人名称的表单、视图或域中的存取控制列表，而且要手动更新包含个人名称的所有文档中的名称。更新现有文档可能花费复制必需的大量时间以传播更改。
角色出现在“存取控制列表”对话框中并标明包含有限制的存取级别的组件的数据库。如果未使用角色，则修改 ACL 时，管理者很可能忽略指定存取级别给数据库组件。

基于读者域和作者域的扩展起来，除了设置角色，以便以后修改方便等等，还有一种就是创建配置文档，这样，也可以把权限细化

比如：要实现三层权限管理，那就建立这样的配置文档，定义好三层权限管理的包含关系后，在文档中通过程序读取配置文档中的配置，赋给读者域或作者域，达到权限控制的细化