¿Quién puede crear agentes?

Para controlar quién puede crear agentes que se ejecuten en los servidores, utilice las listas de control de acceso de las bases de datos.

Nota Los usuarios de Web no pueden crear agentes.

Para crear	Acceso necesario
Agentes privados	Acceso de lector o superior y la opción Crear agentes privados activada en la LCA
Agentes privados usando LotusScript y Java	Acceso de lector o superior y las opciones Crear agentes privados y Crear agentes LotusScript o Java activadas en la LCA
Agentes compartidos usando acciones simples y fórmulas	Acceso de diseñador o superior
Agentes compartidos usando agentes LotusScript o Java	Acceso de diseñador o superior y la opción Crear agentes LotusScript o Java activada en la LCA

¿Quién puede ejecutar agentes?

Para controlar quién puede ejecutar agentes en los servidores, utilice el documento de servidor del Directorio de IBM® Lotus® Domino(TM) y las listas de control de acceso de las bases de datos. Consulte el tema "Controlling agents that run on a server" en la Ayuda de Lotus Domino Administrator si desea más información.

Agentes privados

Para controlar quién puede ejecutar agentes privados, abra el documento de servidor del Directorio de Domino y haga clic en la ficha Seguridad. En la sección Restricciones de programabilidad:

• Si cualquier usuario que pueda acceder al servidor puede ejecutar agentes privados, deje en blanco el campo Pueden ejecutar agentes basados en acciones simples y fórmulas.
• Si sólo determinados usuarios pueden ejecutar agentes privados, especifique sus nombres en el campo anterior.

Agentes compartidos

Para controlar quién puede ejecutar agentes compartidos, utilice la LCA de la base de datos. Los usuarios con acceso de lector o superior pueden ejecutar agentes compartidos.

• Si los usuarios tienen autorización para ejecutar agentes compartidos, asígneles acceso de lector o superior.
• Si los usuarios no tienen autorización para ejecutar agentes compartidos, no los incluya en la LCA ni les asigne acceso de depositante.

Los lenguajes LotusScript y Java disponen de operaciones que tienen acceso total al sistema del servidor y pueden manipular la hora del sistema, leer y escribir archivos, y emitir comandos del sistema operativo. Los usuarios o grupos que tengan acceso sin restricciones pueden ejecutar un agente que incluya cualquiera de estas operaciones en los componentes LotusScript o Java. Los usuarios o grupos cuyo acceso tenga restricciones pueden incluir la mayoría de estas operaciones. Los únicos comandos restringidos son aquellos que permiten acceder al sistema del servidor.

Cuidado Los agentes Java y LotusScript sin restricciones pueden, en potencia, franquear el sistema de seguridad. Sólo deben tener derechos plenos un número restringido de usuarios de confianza.

¿Dónde se pueden ejecutar los agentes?

Para controlar si los agentes están autorizados a ejecutarse en los servidores, utilice el documento de servidor del Directorio de Domino. Haga clic en la ficha Seguridad. En la sección Acceso al servidor:

• Si cualquier usuario que ejecute un agente que acceda al servidor tiene autorización para acceder al servidor, deje en blanco Pueden acceder al servidor.
• Si no desea que los usuarios en general accedan al servidor ni directamente ni mediante agentes, especifique una serie de nombres de usuario en Pueden acceder al servidor. Así, si un usuario no especificado intenta ejecutar un agente que accede al servidor, no se ejecutará dicho agente. También se pueden especificar los nombres de usuario en No pueden acceder al servidor.

  Nota Estas restricciones afectan a los agentes que se ejecutan en otros servidores o en un cliente. Los agentes que ya estén programados para ejecutarse en el servidor no se verán afectados por la sección Acceso al servidor.

Para controlar qué documentos pueden procesar los agentes, IBM® Lotus® Domino(TM) examina la LCA de la base de datos donde estén almacenados los documentos, de la manera que sigue:

• En el caso de agentes que utilicen acciones simples, LotusScript y Java, Domino examinará la LCA del usuario.
• En el caso de agentes que utilicen fórmulas, Domino examinará el archivo ID de la réplica de la base de datos en la fueron creados los agentes. Por consiguiente, para asegurarse de que esos agentes que utilizan fórmulas puedan acceder a los documentos de otras bases de datos, debe incluir el archivo ID de la réplica de la base de datos en cada base de datos a la que vaya a acceder el agente.

• Si cualquier usuario está autorizado a crear bases de datos, deje en blanco Pueden crear bases de datos y plantillas. Así, cualquiera que ejecute un agente que cree una base de datos nueva podrá hacerlo en el servidor.
• Si no desea que los usuarios creen bases de datos, especifique los nombres de usuario de aquellas personas autorizadas a crear bases de datos en Pueden crear bases de datos y plantillas. Así, si un usuario que no está especificado ejecuta un agente que crea una base de datos, aparecerá un mensaje de error y no se creará la base de datos.

Domino examina las restricciones de seguridad de forma diferente, en función de si se va a ejecutar el agente:

• Localmente o en el servidor.
• En primer o en segundo plano.
• Si el agente se ejecuta desde Internet o desde el cliente IBM® Lotus® Notes®.

Un agente se ejecuta localmente cuando:

• Se ejecuta en una base de datos del cliente Notes.
• Se ha especificado Local en la lista Ejecutar en de un agente programado.
• Un usuario ejecuta el agente desde el menú Acciones en el cliente Notes, desde el menú Agente - Ejecutar de IBM® Lotus® Domino(TM) Designer, mediante la opción Si se han pegado documentos o llamando al agente mediante agent.run.

En el servidor

Un agente se ejecuta en el servidor cuando lo hace en una base de datos almacenada en el servidor y se inicia provocado por cualquiera de las circunstancias siguientes:

• Antes de recibir el correo
• Después de recibir el correo
• Si se han creado o modificado documentos
• Varias veces al día según lo programado
• Una vez al día según lo programado
• Una vez a la semana según lo programado
• Una vez al mes según lo programado
• Llamado por un agente a través de agent.runonserver (el agente al que se llama debe estar ubicado en el servidor)

Primer o segundo plano

Un agente se ejecuta en primer plano cuando un usuario lo inicia en el menú Acciones de Notes, lo selecciona en la lista Agentes de Designer o hace clic en un botón de acción. Si la ejecución tiene lugar en primer plano, no se comprueban las restricciones de seguridad.

Un agente se ejecuta en segundo plano cuando está programado o cuando lo inicia un evento (por ejemplo, al modificar documentos), o cuando lo llama agent.runonserver. Si la ejecución tiene lugar en segundo plano, Domino comprueba las restricciones de seguridad.

Desde un cliente Notes o desde Internet

Los agentes se ejecutan en el cliente Notes o en Internet basándose en el usuario efectivo. El usuario efectivo es el usuario bajo cuya autoridad se ejecuta el agente. Quién será este usuario dependerá del entorno en el que se ejecute el agente.

Tipo de agente	Usuario efectivo
Agente del cliente Notes	ID de usuario actual
Agente de Web	Uno de los siguientes: El usuario de Web actual El firmante del agente (el propietario) En nombre de (se define en la ficha Seguridad del cuadro de propiedades del agente).
Agente programado	Uno de los siguientes: El firmante del agente (el propietario) El usuario representante (definido en la ficha Seguridad del cuadro de propiedades del agente). Cuando un usuario ejecute un agente en el cliente Notes, dicho agente se ejecutará con los derechos del usuario efectivo, que es el ID de usuario actual.

Cuando un usuario de Web ejecuta un agente, el agente también se ejecuta conforme a los derechos del usuario efectivo, y Domino comprueba los derechos de acceso de éste a la base de datos. No obstante, se puede configurar el agente de tal manera que Domino compruebe los derechos de acceso del usuario que solicita la ejecución, en lugar de los del usuario efectivo. La comprobación de los derechos del usuario solicitante suele ofrecer más garantías.

Siga estos pasos para hacer que Domino compruebe los derechos de acceso del usuario solicitante:

1. Haga doble clic en el nombre de un agente en la lista de agentes.

2. Haga clic en la ficha Seguridad.

3. Seleccione Ejecutar como usuario de Web.

Después de que se seleccione esta opción, Domino solicitará al usuario de Web su nombre y contraseña cuando intente ejecutar el agente. Domino emplea la información de inicio de sesión para comprobar los derechos del usuario solicitante en la LCA de la base de datos.

Controles de seguridad para los agentes ejecutados a su vez por otros agentes

Cuando los agentes ejecutan a su vez otros agentes, Domino comprueba las restricciones de seguridad de cada agente. No obstante, si los firmantes de los agentes son distintos, Domino comprobará los parámetros de seguridad como sigue:

• Si el primer agente utiliza acciones simples o fórmulas:

  Domino comprueba todos los agentes que sean ejecutados a su vez por otros agentes conforme a los derechos del firmante del primer agente.

• Si el primer agente utiliza LotusScript o Java:

  Domino comprueba cada agente que sea ejecutado a su vez por otro agente conforme a los derechos del firmante de cada agente.

Creación de un agente
Configuración de los parámetros de seguridad del agente mediante la ficha Seguridad
Solución de problemas relacionados con los agentes
Acciones y nombres de agentes

Glosario