domino policies: what else?

Domino policies: what else?Domino policies: what else?

Stefano BenassiStefano Benassi

Mi presento...Mi presento... Stefano Benassi, 40 anniStefano Benassi, 40 anni Laureato in Ingegneria Elettronica a Parma nel 1997Laureato in Ingegneria Elettronica a Parma nel 1997 Dopo 3 anni nell'automazione industriale...Dopo 3 anni nell'automazione industriale... ....sempre Lotus (prima programmazione, poi Notes, Domino, ....sempre Lotus (prima programmazione, poi Notes, Domino,

Sametime, Traveler, ...)Sametime, Traveler, ...) IBM Certified System AdministratorIBM Certified System Administrator 01/02/2010: libero professionista01/02/2010: libero professionista

AgendaAgenda A cosa servonoA cosa servono Come sono strutturateCome sono strutturate Tipi di settingsTipi di settings Policies effettivePolicies effettive Quando si applicanoQuando si applicano TroubleshootingTroubleshooting Best practicesBest practices Tips & TricksTips & Tricks Q & AQ & A

A cosa servonoA cosa servono

Ottobre 2002: Domino 6 -> nascono le policyOttobre 2002: Domino 6 -> nascono le policy Le policies consentono agli amministratori di definire alcune Le policies consentono agli amministratori di definire alcune

configurazioni che vengono automaticamente implementate configurazioni che vengono automaticamente implementate (anche in modo forzato) nell'infrastruttura Domino per (anche in modo forzato) nell'infrastruttura Domino per gestirne il funzionamentogestirne il funzionamento

VantaggiVantaggi✔ CentralitàCentralità✔ UniformitàUniformità

Come sono strutturateCome sono strutturate Sono documenti Notes nella Domino DirectorySono documenti Notes nella Domino Directory 2 tipi di documenti:2 tipi di documenti:

✔ POLICY: definisce in che modo tali impostazioni vengono applicate agli utenti POLICY: definisce in che modo tali impostazioni vengono applicate agli utenti (COME)(COME)

✔ POLICY SETTINGS: contengono le impostazioni che voglio applicare agli utenti POLICY SETTINGS: contengono le impostazioni che voglio applicare agli utenti (CHE COSA)(CHE COSA)

Come sono strutturateCome sono strutturate POLICY (release 8.5+)POLICY (release 8.5+)

✔ OrganizzativeOrganizzative✔ Esplicite (sulla persona)Esplicite (sulla persona)✔ Esplicite (dinamiche)Esplicite (dinamiche)

Ogni policy può contenere un solo documento per ogni tipo di Ogni policy può contenere un solo documento per ogni tipo di settingssettings

Come sono strutturateCome sono strutturate POLICY ORGANIZZATIVEPOLICY ORGANIZZATIVE

✔ applicate agli utenti di un'organizzazione/unità organizzativa o a tutti → *applicate agli utenti di un'organizzazione/unità organizzativa o a tutti → *✔ se un utente viene spostato nella gerarchia Domino, vengono modificate le se un utente viene spostato nella gerarchia Domino, vengono modificate le

impostazioni applicateimpostazioni applicate

Come sono strutturateCome sono strutturate POLICY ESPLICITE (sulla persona)POLICY ESPLICITE (sulla persona)

✔ applicate sui documenti persona (obsolete) → tool “Assign policy”applicate sui documenti persona (obsolete) → tool “Assign policy”✔ svantaggi: a un utente posso applicarne solo una (il campo non è multi-value)svantaggi: a un utente posso applicarne solo una (il campo non è multi-value)✔ fino alla release 8: scelta obbligatafino alla release 8: scelta obbligata✔ dalla release 8: policy assegnabili a gruppi ma non dinamicamente, aggiungo dalla release 8: policy assegnabili a gruppi ma non dinamicamente, aggiungo

utenti ma non viene applicata la policyutenti ma non viene applicata la policy

Come sono strutturateCome sono strutturate POLICY ESPLICITE (dinamiche)POLICY ESPLICITE (dinamiche)

✔ applicate a un utente/più utenti/gruppi di utenti applicate a un utente/più utenti/gruppi di utenti ✔ vantaggi: aggiungendo una persona ad un gruppo, gli viene applicata la policy vantaggi: aggiungendo una persona ad un gruppo, gli viene applicata la policy

-> cambio gruppo, cambia la policy-> cambio gruppo, cambia la policy✔ disponibili dalla release 8.5 ma vengono applicate ai client dalla release 8.0.1+disponibili dalla release 8.5 ma vengono applicate ai client dalla release 8.0.1+

Come sono strutturateCome sono strutturate POLICY ESPLICITEPOLICY ESPLICITE

Come sono strutturateCome sono strutturate POLICY SETTINGSPOLICY SETTINGS

✔ Le configurazioni sono raggruppate per tipo di funzionalitàLe configurazioni sono raggruppate per tipo di funzionalità✔ Sono cresciuti di numero nel corso degli anni:Sono cresciuti di numero nel corso degli anni:

➔ 5 nella Domino 65 nella Domino 6➔ 6 nella Domino 76 nella Domino 7➔ 9 nella Domino 8.0.19 nella Domino 8.0.1➔ 10 nella Domino 8.510 nella Domino 8.5

✔ 3 tipi di campi:3 tipi di campi:➔ Menù a tendinaMenù a tendina➔ Caselle di controlloCaselle di controllo➔ Campi liberiCampi liberi

Tipi di settingsTipi di settings REGISTRATION SETTINGSREGISTRATION SETTINGS

✔ Utilizzati nel processo di registrazione utente (Domino Administrator)Utilizzati nel processo di registrazione utente (Domino Administrator)✔ Registro un utente specificando solo nome, cognome e passwordRegistro un utente specificando solo nome, cognome e password✔ Utile con domini multiazienda (multicertificato)Utile con domini multiazienda (multicertificato)✔ Fanno risparmiare tempoFanno risparmiare tempo

SETUP SETTINGSSETUP SETTINGS✔ Utilizzati solo una volta in fase di setup di un client NotesUtilizzati solo una volta in fase di setup di un client Notes✔ Obsolete: "Set initial value" nei Desktop settingsObsolete: "Set initial value" nei Desktop settings

Tipi di settingsTipi di settings DESKTOP SETTINGSDESKTOP SETTINGS

✔ Importantissimi!Importantissimi!✔ Gestiscono il funzionamento quotidiano dei client NotesGestiscono il funzionamento quotidiano dei client Notes✔ Applicati tramite il Dynamic Client ConfigurationApplicati tramite il Dynamic Client Configuration

MAIL SETTINGSMAIL SETTINGS✔ Controllano le preferenze della postaControllano le preferenze della posta✔ Impostazioni che facilitano l’utilizzo da parte degli utentiImpostazioni che facilitano l’utilizzo da parte degli utenti✔ Vengono applicate ogni 12 ore dall’Administration ProcessVengono applicate ogni 12 ore dall’Administration Process✔ Tell adminp process mailpolicyTell adminp process mailpolicy

Tipi di settingsTipi di settings SECURITY SETTINGSSECURITY SETTINGS

✔ Controllano la gestione della sicurezza utenteControllano la gestione della sicurezza utente✔ Complessità e scadenza della passwordComplessità e scadenza della password✔ Notes Execution Control List (ECL)Notes Execution Control List (ECL)✔ Gestione certificatiGestione certificati✔ Sicurezza plug-in di EclipseSicurezza plug-in di Eclipse✔ NEW (8.5): Notes Shared LoginNEW (8.5): Notes Shared Login✔ NEW (8.5): ID VaultNEW (8.5): ID Vault

ARCHIVE SETTINGSARCHIVE SETTINGS✔ Utilizzati per determinare i criteri di archiviazione della postaUtilizzati per determinare i criteri di archiviazione della posta

Tipi di settingsTipi di settings LOTUS TRAVELER SETTINGSLOTUS TRAVELER SETTINGS

✔ Gestiscono la configurazione dei device mobili supportatiGestiscono la configurazione dei device mobili supportati

CONNECTIONS SETTINGSCONNECTIONS SETTINGS✔ Utilizzati per la configurazione del server IBM ConnectionsUtilizzati per la configurazione del server IBM Connections

ROAMING SETTINGSROAMING SETTINGS✔ Utilizzati per la configurazione degli utenti roaming che appoggiano una share Utilizzati per la configurazione degli utenti roaming che appoggiano una share

di rete i propri roaming filesdi rete i propri roaming files

SYMPHONY SETTINGSSYMPHONY SETTINGS✔ Utilizzati per la configurazione del tool di produttività individuale Lotus Utilizzati per la configurazione del tool di produttività individuale Lotus

Symphony (associazione file - programma)Symphony (associazione file - programma)

Policies effettivePolicies effettive Policies coinvolte: organizzative + dinamiche + una esplicitaPolicies coinvolte: organizzative + dinamiche + una esplicita I settings applicati ad un utente sono un insieme dei I settings applicati ad un utente sono un insieme dei

parametri derivati dalle varie policies a lui applicateparametri derivati dalle varie policies a lui applicate Vengono calcolati al momento in cui la policy viene applicataVengono calcolati al momento in cui la policy viene applicata

1.1. GERARCHIA: vale sia per le organizzative che per le esplicite GERARCHIA: vale sia per le organizzative che per le esplicite (tramite il nome)(tramite il nome)✔ ““Vince” la policy più specifica Vince” la policy più specifica (valutata campo per campo)(valutata campo per campo)

Policies effettivePolicies effettive2.2. SPECIFICITA’: una policy “più specifica” ha la precedenza su di SPECIFICITA’: una policy “più specifica” ha la precedenza su di

una “meno specifica”. una “meno specifica”.

Quindi, in ordine crescente di specificità:Quindi, in ordine crescente di specificità:✔ OrganizzativaOrganizzativa✔ DinamicaDinamica✔ EsplicitaEsplicita

Policies effettivePolicies effettive Gli attibuti di “Enforce” e “Inherit” funzionano su policy per le Gli attibuti di “Enforce” e “Inherit” funzionano su policy per le

quali esiste un rapporto di parentela padre/figlioquali esiste un rapporto di parentela padre/figlio Una policy esplicita è sempre figlia di qualsiasi policy Una policy esplicita è sempre figlia di qualsiasi policy

organizzativa che si applica all’utente, a meno che non sia organizzativa che si applica all’utente, a meno che non sia impostata come policy “eccezione” (TN 1224460)impostata come policy “eccezione” (TN 1224460)

Policies effettivePolicies effettive ENFORCE: impongo un setting da una policy a specificità ENFORCE: impongo un setting da una policy a specificità

minore ad una maggiore (dall’alto) minore ad una maggiore (dall’alto)

INHERIT: impongo un setting da una policy a specificità INHERIT: impongo un setting da una policy a specificità minore ad una maggiore (dal basso)minore ad una maggiore (dal basso)✔ Non viene forzato a livelli inferiori sotto quello di inherit (a meno che non sia Non viene forzato a livelli inferiori sotto quello di inherit (a meno che non sia

contemporaneamente specificato l’enforce)contemporaneamente specificato l’enforce)

Policies effettivePolicies effettive PRECEDENZA (policy dinamiche): 1 organizzativa + 1 esplicita PRECEDENZA (policy dinamiche): 1 organizzativa + 1 esplicita

ma tante dinamichema tante dinamiche Problema: valori differenti su policy differenti per un certo Problema: valori differenti su policy differenti per un certo

parametroparametro Soluzione: precedenza delle policy dinamiche!Soluzione: precedenza delle policy dinamiche! Eventuali conflitti vengono risolti per generare una sola policy Eventuali conflitti vengono risolti per generare una sola policy

dinamica prima di combinarla con le altredinamica prima di combinarla con le altre

Policies effettivePolicies effettive Utente con: 2 organizzative + 2 dinamiche + 1 esplicitaUtente con: 2 organizzative + 2 dinamiche + 1 esplicita

Policies effettivePolicies effettive HOW TO APPLY: determina la persistenza nel tempo del HOW TO APPLY: determina la persistenza nel tempo del

valore di un parametro specificato via policyvalore di un parametro specificato via policy

Policies effettivePolicies effettive1.1. DON'T SET VALUE: non viene specificato nessun valore per il DON'T SET VALUE: non viene specificato nessun valore per il

parametro che è come se non esistesseparametro che è come se non esistesse✔ Se è una checkbox e non viene spuntata, il valore viene comunque utilizzato Se è una checkbox e non viene spuntata, il valore viene comunque utilizzato

2.2. SET INITIAL VALUE: il valore viene impostato solo la prima SET INITIAL VALUE: il valore viene impostato solo la prima volta che viene applicata la policy, se l’utente ne modifica volta che viene applicata la policy, se l’utente ne modifica successivamente il valore questo viene mantenuto (quindi successivamente il valore questo viene mantenuto (quindi Setup = Desktop + S.I.V.)Setup = Desktop + S.I.V.)✔ I client pre-release 8 non interpretano questo valoreI client pre-release 8 non interpretano questo valore

Policies effettivePolicies effettive3.3. SET VALUE WHENEVER MODIFIED: se l’utente ne modifica il SET VALUE WHENEVER MODIFIED: se l’utente ne modifica il

valore questo viene sovrascrittovalore questo viene sovrascritto✔ i valori vengono reimpostati a quelli specificati nella policy ogni 12 orei valori vengono reimpostati a quelli specificati nella policy ogni 12 ore

4.4. SET VALUE AND PREVENT CHANGES: il valore viene impostato SET VALUE AND PREVENT CHANGES: il valore viene impostato e reso immodificabile da parte dell’utentee reso immodificabile da parte dell’utente

Policies effettivePolicies effettive Come per il valore, anche per l’HTA valgono “Inherit” ed Come per il valore, anche per l’HTA valgono “Inherit” ed

“Enforce”“Enforce”

Don’t set value + “Enforce” → il parametro non ha un valore Don’t set value + “Enforce” → il parametro non ha un valore nella policy effettivanella policy effettiva

Pulsante di modifica massiva dell’HTA: molto utile!Pulsante di modifica massiva dell’HTA: molto utile!

Quando si applicanoQuando si applicanoCreo o modifico una policy: quando avrà effetto?Creo o modifico una policy: quando avrà effetto? AGGIORNAMENTO DELLA NAMESAGGIORNAMENTO DELLA NAMES

✔ Ogni 1 minutoOgni 1 minuto✔ UPDATE_NAB_VIEWS_DISABLEUPDATE_NAB_VIEWS_DISABLE✔ UPDATE_NAB_SUPPRESSION_TIME (minutes)UPDATE_NAB_SUPPRESSION_TIME (minutes)✔ Load updall names –T ($Policies) –RLoad updall names –T ($Policies) –R✔ Policy dinamiche: cache dei gruppiPolicy dinamiche: cache dei gruppi

REPLICA SULL’HOME SERVERREPLICA SULL’HOME SERVER✔ Modifiche sul server amministrativo del dominioModifiche sul server amministrativo del dominio✔ Replica sull’home server dell’utenteReplica sull’home server dell’utente

Quando si applicanoQuando si applicanoCreo o modifico una policy: quando avrà effetto?Creo o modifico una policy: quando avrà effetto? APPLICAZIONEAPPLICAZIONE

✔ Mail/Traveler: 12 ore (ADMINP_POLL_INTERVAL) o tell adminp process Mail/Traveler: 12 ore (ADMINP_POLL_INTERVAL) o tell adminp process mailpolicymailpolicy

✔ Archive: compact -AArchive: compact -A✔ Setup: setup iniziale del client NotesSetup: setup iniziale del client Notes✔ Altre:Altre:

1)1) Notes invia “digest” delle policy durante l'autenticazione con l'home serverNotes invia “digest” delle policy durante l'autenticazione con l'home server

2)2) Domino calcola ciò che quel client Notes dovrebbe avere in quel momentoDomino calcola ciò che quel client Notes dovrebbe avere in quel momento

3)3) Se i due valori sono diversi, comunica il refresh delle policySe i due valori sono diversi, comunica il refresh delle policy

4)4) Dynamic Client Configuration: se necessario, API NAMEGetPolicy → pull policy effettivaDynamic Client Configuration: se necessario, API NAMEGetPolicy → pull policy effettiva

5)5) Policy “cachata” nella names e applicata → vista nascosta ($Policies)Policy “cachata” nella names e applicata → vista nascosta ($Policies)

6)6) Il nuovo “hash” viene memorizzato per essere trasmesso la volta successivaIl nuovo “hash” viene memorizzato per essere trasmesso la volta successiva

Notes configuration settings have been refreshedNotes configuration settings have been refreshed

TroubleshootingTroubleshooting Policy SynopsisPolicy Synopsis

Vista ($Policies) dei contattiVista ($Policies) dei contatti

Log.nsfLog.nsf

Policy Viewer del Domino AdministratorPolicy Viewer del Domino Administrator

Variabili di debugVariabili di debug


✔ Utile per determinare la policy effettiva sul serverUtile per determinare la policy effettiva sul server


✔ Summary only/DetailedSummary only/Detailed✔ Polcysyn.nsf nella data su localePolcysyn.nsf nella data su locale


✔ Policy coinvolte nel calcolo della policy effettiva per un utentePolicy coinvolte nel calcolo della policy effettiva per un utente✔ Valore di ogni parametro impostato (non così agevole...)Valore di ogni parametro impostato (non così agevole...)

TroubleshootingTroubleshooting Vista ($Policies) nei contattiVista ($Policies) nei contatti

✔ Utile per determinare la policy effettiva scaricata sul client NotesUtile per determinare la policy effettiva scaricata sul client Notes

TroubleshootingTroubleshooting Log.nsfLog.nsf

✔ Utile per determinare eventuali problemi riguardo alla DCCUtile per determinare eventuali problemi riguardo alla DCC✔ Possibili cause:Possibili cause:

1)1) DisableDynConfigClient=1 nel notes.iniDisableDynConfigClient=1 nel notes.ini

2)2) Non è specificato l’home server sul documento localitàNon è specificato l’home server sul documento località

3)3) AcceptUpdates=0 sul documento localitàAcceptUpdates=0 sul documento località

4)4) Chiave pubblica file id <> chiave pubblica documento personaChiave pubblica file id <> chiave pubblica documento persona

TroubleshootingTroubleshooting Policy viewerPolicy viewer

✔ By Settings: utile per determinare quali settings su quali policyBy Settings: utile per determinare quali settings su quali policy✔ Doppio clic → modifico direttamente i settingsDoppio clic → modifico direttamente i settings

TroubleshootingTroubleshooting Policy viewerPolicy viewer

✔ By Hierarchy: selezionando un utente e un tipo di settings, visualizzo la policy By Hierarchy: selezionando un utente e un tipo di settings, visualizzo la policy effettiva applicata all’utenteeffettiva applicata all’utente

TroubleshootingTroubleshooting Variabili di debugVariabili di debug

✔ Debug_policy=2Debug_policy=2✔ Debug_Dynconfig=1Debug_Dynconfig=1✔ Debug_ClientRecord=1Debug_ClientRecord=1

Meglio con...Meglio con...✔ Debug_console=1 → mostra in una DOS shell cosa fa NotesDebug_console=1 → mostra in una DOS shell cosa fa Notes✔ Debug_outfile=C:\temp\policydebug.txt → output su fileDebug_outfile=C:\temp\policydebug.txt → output su file

Best practicesBest practices Struttura semplice Struttura semplice →→ utilizzare: utilizzare:

✔ policy organizzativepolicy organizzative✔ policy dinamichepolicy dinamiche✔ policy esplicite (meno possibile)policy esplicite (meno possibile)✔ possibilmente no eccezioni (top management)possibilmente no eccezioni (top management)

Il deploy di una policy organizzativa errata può Il deploy di una policy organizzativa errata può compromettere la produttività di un’aziendacompromettere la produttività di un’azienda

Best practicesBest practices Steps di deploySteps di deploy

1.1. creare una policy dinamicacreare una policy dinamica

2.2. creare i settingscreare i settings

3.3. assegnare i settings nella policyassegnare i settings nella policy

4.4. creare un gruppo per gli utenti di test (pochi)creare un gruppo per gli utenti di test (pochi)

5.5. assegnare la policy al gruppoassegnare la policy al gruppo

6.6. periodo di test: raccogliere più feedback possibileperiodo di test: raccogliere più feedback possibile

7.7. se ok, ampliare il numero degli utenti di testse ok, ampliare il numero degli utenti di test

8.8. se ok, dinamica -> organizzativase ok, dinamica -> organizzativa

Tips & TricksTips & Tricks Desktop policy per utenti iNotesDesktop policy per utenti iNotes

✔ occorre definire anche settings di tipo mailoccorre definire anche settings di tipo mail

““Set initial value” funziona sempre una voltaSet initial value” funziona sempre una volta✔ vengono sovrascritte le impostazioni utentevengono sovrascritte le impostazioni utente

Firma delle policyFirma delle policy✔ vengono applicate e utilizzate se correttamente firmate vengono applicate e utilizzate se correttamente firmate ✔ id expiredid expired✔ utente cancellatoutente cancellato

Tips & TricksTips & Tricks Cancellazione documenti policyCancellazione documenti policy

✔ organizzative: cancellata solo la policyorganizzative: cancellata solo la policy✔ esplicite: richiesta nell’admin4 per cancellare eventuali riferimentiesplicite: richiesta nell’admin4 per cancellare eventuali riferimenti✔ settings: cancellati i riferimenti in tutte le policy che li utilizzanosettings: cancellati i riferimenti in tutte le policy che li utilizzano✔ ATTENZIONE: ciò che viene inviato al client, rimane in funzione se cancellato ATTENZIONE: ciò che viene inviato al client, rimane in funzione se cancellato

senza essere sostituito!senza essere sostituito!

Ambienti con versioni miste:Ambienti con versioni miste:✔ pre 8.0.1: policy effettiva calcolata dal clientpre 8.0.1: policy effettiva calcolata dal client✔ mail policy: dipendono dalla versione del templatemail policy: dipendono dalla versione del template✔ settings presenti su server ma non disponibili su client (versione inferiore)settings presenti su server ma non disponibili su client (versione inferiore)

Tips & TricksTips & Tricks Nome server in formato canonicoNome server in formato canonico

✔ se gerarchico, le policy non si aggiornanose gerarchico, le policy non si aggiornano

Policy dinamichePolicy dinamiche✔ utilizzo di gruppi, non nomi individualiutilizzo di gruppi, non nomi individuali✔ non solo gruppi “Auto-populated”, anche “normali”non solo gruppi “Auto-populated”, anche “normali”

Errore mail policyErrore mail policy

✔ ““NAMELookups are limited on this server to a size smaller than what would be NAMELookups are limited on this server to a size smaller than what would be returned” → Namelookup_max_mb=2returned” → Namelookup_max_mb=2

Tips & TricksTips & Tricks No “CTRL-Z”!No “CTRL-Z”!

✔ reimpostare un nuovo valorereimpostare un nuovo valore

No reset delle policy da remotoNo reset delle policy da remoto✔ cancellazione manualecancellazione manuale✔ editare e salvare il documento persona (sul server amministrativo)editare e salvare il documento persona (sul server amministrativo)

ACL Domino Directory → accesso “Editor”ACL Domino Directory → accesso “Editor”✔ creazione: ruolo [PolicyCreator] o [PolicyModifier]creazione: ruolo [PolicyCreator] o [PolicyModifier]✔ modifica: ruolo [PolicyModifier]modifica: ruolo [PolicyModifier]✔ ruolo [PolicyReader]: replica con server Domino 4.67a-ruolo [PolicyReader]: replica con server Domino 4.67a-

Tips & TricksTips & Tricks Notes.ini, Locations e Managed SettingsNotes.ini, Locations e Managed Settings

✔ nei desktop settings → tab “Custom Settings”nei desktop settings → tab “Custom Settings”✔ cancellazione variabili nel notes.ini: no!cancellazione variabili nel notes.ini: no!✔ locations: tutte, non solo una specificalocations: tutte, non solo una specifica✔ managed settings: pluginID/preferenceID=preferenceValuemanaged settings: pluginID/preferenceID=preferenceValue

es. deploy automatico di Sametimees. deploy automatico di Sametime

No Connection documentsNo Connection documents

Q & AQ & ADomande?Domande?

Grazie agli sponsor per aver reso possibile i Grazie agli sponsor per aver reso possibile i Dominopoint Days 2012!Dominopoint Days 2012!

Main SponsorMain Sponsor

Vad sponsorVad sponsor

Platinum sponsorPlatinum sponsor

Gold sponsorGold sponsor

domino policies: what else?

Technology

utente sono

sono strutturatepolicy

domino policies

policy assegnabili

policy viene applicata1

una policy pi specifica

policy cambio gruppo

funzionano su policy