gosa-core/FAQ

   1 This is the textual form of the GOsa FAQ. Online information with
   2 comments is set up at Wiki: http://oss.gonicus.de/gosa/.
   3
   4 Q: When creating many users for one department, I need to fill some
   5    fields again and again. Is there a shortcut for that?
   6
   7 A: Just create a user template and pre-fill all values you need. You
   8    can use dynamic content, too: uid, sn and givenName will be replaced.
   9    i.E. an entry '/home/%uid' in homeDirectory will be replaced by the
  10    real uid of the user you're creating, %sn.%givenName@yourdomain.com
  11    creates proper email addresses, etc. Templates include group membership.
  12
  13
  14 Q: Can GOsa execute commands after creating/editing/removing users,
  15    departments, etc.
  16
  17 A: Yes. Edit /etc/gosa/gosa.conf's menu section. Each plugin may have
  18    an entry "postremove", "postmodify" and "postcreate".  You can use
  19    ldap attributes as command line options.
  20    i.E. postcreate="/usr/bin/sudo /usr/local/sbin/ftp.setperms %uid '%givenName'"
  21
  22
  23 Q: I'd like to  modify the look of GOsa to fit our CI. How can I create an
  24    own theme?
  25
  26 A: Themes are splitted into two parts. ihtml/ contains templates which
  27    generate the ui, html/ contains all parts that must be readable from
  28    clients. GOsa first looks for predefined files in the directory indirectly
  29    defined via the "theme" parameter in /etc/gosa/gosa.conf. If it can't
  30    find them here, it'll use the default one.
  31
  32    So start over by copying html/themes/default to html/themes/yourtheme
  33    and ihtml/themes/default to ihtml/themes/yourtheme. Change gosa.conf to
  34    contain theme="yourtheme" in section main. Here are some files to edit:
  35
  36    * login.tpl          -> login screen
  37    * framework.tpl      -> page contents
  38    * style.css          -> stylesheets used by GOsa
  39
  40    In fact, the rest of the UI is not converted to smarty, yet. Please be
  41    patient.
  42
  43
  44 Q: How can I let a person do administrative tasks under a specific department?
  45
  46 A: Create a group inside this department. Put all administrative people inside,
  47    go to the "ACL" tab and check all fields these users should be able to adminstrate.
  48
  49
  50 Q: How can I permit users to change some of their own attributes?
  51
  52 A: Same like the point above, but this rule only works for users own attributes
  53    by checking the box on the acl page.
  54
  55
  56 Q: What about applications?
  57
  58 A: GOsa can manage desktop applications in ldap. Create a group and put all users
  59    in there, which have common desktop settings. Go to the "Application" tab and
  60    add all applications common to this group. Applications can be created from the
  61    application plugin.
  62    The idea behind this feature is a script running on the terminal-servers/
  63    workstation which check for applications on login (or on a regular basis using
  64    timestamps). This one will create the corresponding icons on your KDE or GNOME
  65    desktop.
  66
  67
  68 Q: What's this terminal stuff?
  69
  70 A: GOto is - similar to LTSP - a ldap based diskless client system. It is available
  71    from our projects page.
  72
  73
  74 Q: I can't select any mailservers. What's wrong?
  75
  76 A: LDAP stores information about all your servers. The server plugin is not ready
  77    yet, so you've to adjust/add these entries using your favorite ldap tool.
  78
  79
  80 Q: GOsa is not in my native language, can I translate it to my language?
  81
  82 A: Yes. Just go to the locale directory and copy the messages.po file somewhere
  83    else. Edit the copy and put your translations into the msgstr lines. To be
  84    included in next GOsa releases, you may want to send it to the GOsa maintainer.
  85    Finally you need to create a directory with your language code. (i.e. de for
  86    german) containing the LC_MESSAGES directory. Move your messages.po file there
  87    and run 'msgfmt messages.po' in that directory. That's it.
  88
  89    You may need to restart apache, depending on your setup. On Debian, be sure
  90    to have your locale generated (dpkg-reconfigure locales) before.
  91
  92 Q: The online help doesn't exist in my language, can i translate it to my language?
  93
  94 A: Yes. Just go to the doc/guide/user/en directory and copy the lyx-source directory
  95    to a new directory in doc/guide/user/<your language>. You have to use the lyx
  96    program create the online help in your language. When you have finish just run
  97    ./gen_online_help from the gosa root directory to generate the online docs.
  98
  99 Q: Can I specify some kind of password policies?
 100
 101 A: You can place the keywords "passwordMinLength" and "passwordMinDiffer" in the main
 102    section of your gosa.conf. "passwordMinLength" specifies how many characters a
 103    password must have to be accepted. "passwordMinDiffer" contains the number of
 104    characters that must be different from the previous password.
 105
 106    Note that these only affect passwords that are set by the user, not by the admins.
 107
 108
 109 Q: I've to update passwords on external windows PDCs. Can I add a command to let
 110    synchronize these for me?
 111
 112 A: There's the possibility to add a password hook in gosa.conf's main section using
 113    the keyword "passwordHook". The specified command will be executed with
 114    three parameters: /path/to/your/script username oldpassword newpassword
 115
 116    So you can call i.e. smbpasswd to handle your password change on the PDC.
 117
 118
 119 Q: What about templates for vacation messages?
 120
 121 A: Create a directory to keep a set of vacation messages which are readable by the
 122    user that runs your apache. In this example I'll use /etc/gosa/vacation for that.
 123
 124    Put your vacation files in there containing a "DESC:some descriptive text" as the
 125    first line followed by the normal vacation text. You can use all attributes from
 126    the generic tab. I.e.:
 127
 128    /etc/gosa/vacation/business.txt ------------------------------------------------->8
 129    DESC:Away from desk
 130    Hi, I'm currently away from my desk. You can contact me on
 131    my cell phone via %mobile.
 132
 133    Greetings,
 134    %givenName %sn
 135    -----------------------------------------------------------------------------------
 136
 137    Place the config option vacationTemplateDirectory="/etc/gosa/vacation" in the location found in
 138    gosa.conf and a template box is show in the vacation mail tab.
 139
 140
 141 Q: How can I generate automatic ID's for user templates?
 142
 143 A: Add an entry describing your id policy in gosa.conf, location section:
 144
 145    a) using attributes
 146       You can specify LDAP attributes (currently only sn and givenName) in braces {}
 147       and add a percent sign befor it. Optionally you can strip it down to a number
 148       of characters, specified in []. I.e.
 149
 150         idGenerator="{%sn}-{%givenName[2-4]}"
 151
 152       will generate an ID using the full surename, adding a dash, and adding at least
 153       the first two characters of givenName. If this ID is used, it'll use up to four
 154       characters. If no automatic generation is possible, a input box is shown.
 155
 156    b) using automatic id's
 157       I.e. specifying
 158
 159         idGenerator="acct{id:3}"
 160
 161       will generate a three digits id with the next free entry appended to "acct".
 162
 163         idGenerator="ext{id#3}"
 164
 165       will generate a three digits random number appended to "ext".
 166
 167
 168 Q: I'm migrating from the current LDAP, now GOsa does not allow uid's and group
 169    with upper/lower case and spaces. What can I do?
 170
 171 A: Include the strictNamingRules="no" keyword in your gosa.conf's location section.
 172    WARNING: using strictNamingRules="no" will cause problems with cyrus/postfix!!
 173
 174
 175 Q: I'd like to place my users under ou=staff, not under ou=people. Can I change
 176    this?
 177
 178 A: Yes. You can change the people and group locations by adding the following
 179    statements to your location sections:
 180
 181    userRDN="ou=staff"
 182    groupRDN="ou=crowds"
 183
 184    After logging in again, people and groups are created in the configured places.
 185    As a side note, you can leave these strings blank for flat structures, too.
 186
 187
 188 Q: I've problems with many objectClass violations/undefined attributes. Can GOsa
 189    check what's missing?
 190
 191 A: Yes. Move away your gosa.conf and go to the GOsa setup. Follow the steps till
 192    you can download the config. If you get up to this point, your schema is ok...
 193
 194
 195 Q: I really don't want dn's containing the CN for user accounts because I don't
 196    want to support anonymous binds for uid resolution. Is it possible to have dn's
 197    containing the uid instead?
 198
 199 A: Yes. Placing the accountPrimaryAttribute="uid" keyword in your gosa.conf's location
 200    section will solve your problem.
 201
 202
 203 Q: Hey, I've installed GOsa, but it claims something about "SID and / or RIDBASE
 204    are missing in your configuration". What's wrong?
 205
 206 A: You've configured GOsa to use samba3, but your LDAP has no samba domain object
 207    inside. Either log into samba for the first time to let it create that object,
 208    or supply the sid and ridbase for your domain in your gosa.conf's location, i.e.:
 209
 210    <location name=...>
 211              ...
 212              sambaRidBase="1000"
 213              sambaSID="0-815-4711" \>
 214
 215    Remember to fill in your real domain sid which is retrievable by the command
 216    "net getlocalsid".
 217
 218
 219 Q: We have massive performance problems with using samba as a member server.
 220
 221 A: This is a known issue. We're working around this by putting
 222
 223    <location name=...>
 224         ...
 225         sambaidmapping="true"
 226         ... \>
 227
 228     into the configuration. GOsa will write the additional objectClass sambaIdmapEntry
 229     to the group and user objects.
 230
 231
 232 Q: I get 'The value specified as GID/UID number is too small' when forcing IDs. Why?
 233
 234 A: This is an additional security feature, so that no one can fall back to uid 0. The
 235    default minimum ID is 100. You can set it to every value you like by specifying
 236
 237    <location name=...>
 238         ...
 239         minId="40"
 240         ... \>
 241
 242    in your configuration. In this example 40 will be the smallest ID you can enter.
 243
 244
 245 Q: Aahhrg. I've updated to a new version and my gosa.conf seems to be broken.
 246
 247 A: Some parameters have changed. Please call the fix_config.sh script which is in
 248    the contrib directory.
 249
 250
 251 Q: I've saved my windows workstations in other locations like GOsa is doing it
 252    for decades. Is there a way to change this?
 253
 254 A: Yes. Use the winstation parameter in your location section:
 255
 256    <location name=...>
 257         ...
 258         sambaMachineAccountRDN="ou=machineaccounts"
 259         ... \>
 260
 261
 262 Q: GOsa doesn't seem to follow my referrals. What can I do?
 263
 264 A: Place the option 'ldapFollowReferrals = "true"' inside your locations definition
 265    and you should be fine.
 266
 267
 268 Q: I'd like to have TLS based LDAP connections from within GOsa. Is this possible?
 269
 270 A: Yes, add
 271
 272    <location ...>
 273    ...
 274          ldapTLS="true"
 275    ... \>
 276
 277    to the location section of GOsa. This switch affects LDAP connections for a single location only.
 278
 279
 280 Q: Cyrus folder get created in the style user.username. I prefer the unix hirachy
 281    style user/username. Is it possible to change this?
 282
 283 A: Yes, add
 284
 285    <main ...>
 286    ...
 287          cyrusUseSlashes="true"
 288    ... \>
 289
 290    to the main section of GOsa and the folders are created in unix style.
 291
 292
 293 Q: I've a cyrus installation with customized user and folder prefixes.
 294    How can I tell GOsa to use the prefixes I prefer?
 295
 296 A: Simply set the following attributes in the location tag of your gosa.conf:
 297
 298    <location ...>
 299    ...
 300          mailUserCreation="myprefix/%mail%"
 301          mailFolderCreation="myfolder\\.%cn%@%domain%"
 302    ... \>
 303
 304    The dot in the above example is escaped to prevent it from replacing with '/' if
 305     cyrusUseSlashes is set to true.
 306
 307    You can use the following replacements:
 308     %cn%       - The groups cn.
 309     %uid%      - The users uid.
 310     %prefix%   - The default prefix used by the mailmethod.
 311     %uattrib%  - The configured mailAttribute="" (gosa.conf).
 312     %domain%   - The domain part of the given mail address. (user@domain.com = domain.com)
 313     %mailpart% - The user part of the mail address. (user@domain.com = user)
 314     %mail%     - The complete mail address.
 315
 316
 317 Q: I'd like to do special checks for several plugin parameters. How can I modify
 318    GOsa to take care of these checks?
 319
 320 A: No need to modify anything. Just add a hook the the plugin you'd like to
 321    check:
 322
 323    check="/your/command/binary"
 324
 325    This binary will get an ldif to STDIN for analysis and may write an error message
 326    to STDOUT. Note, that the supplied ldif may NOT be the original target ldif due
 327    to technical reasons.
 328
 329
 330 Q: Is there a way to use ACL independet filtering when using administrative units?
 331
 332 A: Yes. Set "honourUnitTags" to "true" in your gosa.conf's location section.
 333
 334
 335 Q: How can i active the account expiration code for the gosa interface?
 336
 337 A: Yes. Just set "handleExpiredAccounts" to "true" in your gosa.conf's main section.
 338
 339
 340 Q: What is the correct connection string for a Kolab server in GOsa?
 341
 342 A: Try {localhost:143/novalidate-cert}.
 343
 344
 345 Q: Sieve is not working from GOsa - there are authentication problems
 346    with this service, IMAP/POP is working. What's wrong?
 347
 348 A: Verify that the paramater sasl_auto_transition: no is not
 349    present in your imap.conf
 350
 351
 352 Q: Slapd does not start with kolab2.schema included. It claims that the
 353    definition of calFBURL is missing. What can I do?
 354
 355 A: For Kolab to work correctly you have to include the rfc2739.schema
 356    in your slapd.conf. Insert it before the kolab2.schema
 357
 358
 359 Q: New implementations of OpenLDAP seem to require {sasl} instead of {kerberos}
 360    in password hashes. GOsa writes the wrong string. What can I do?
 361
 362 A: You can set "useSaslForKerberos" to "true" in your gosa.conf's main section.
 363
 364
 365 Q: Is there a way to add the personalTitle attribute the the users dn?
 366
 367 A: Just add this line into the location section of your gosa.conf.
 368    <location name=...
 369     personalTitleInDN="true"
 370    ...>
 371
 372
 373 Q: I'd like to assign different uid bases for certain user/group objects.
 374    How can this be achieved?
 375
 376 A: Use the 'baseIdHook' in your gosa.conf's location section to specify a script
 377    which handles the ID generation externaly. It get's called with the "dn"
 378    and the attribute to be ID'd. It should return an integer value.
 379
 380
 381 Q: I'd like to use rfc2307bis compliant groups. Is this possible?
 382
 383 A: Yes - place the rfc2307bis="true" inside of the location section of
 384    your gosa.conf. Remember, that you can't create empty groups in this mode.
 385
 386
 387 Q: Can GOsa show some vendor information for given MAC addresses?
 388
 389 A: Yes. Download http://standards.ieee.org/regauth/oui/oui.txt and place
 390    it in /etc/gosa/oui.txt.
 391
 392
 393 Q: GOsa sessions expire too quick. Is there a way to change this?
 394
 395 A: Yes. Set "sessionLifetime" to the number of seconds of inactivity. 7200
 396    (60x60x2) would be for two hours. Place this option inside the main
 397    section of your gosa.conf.
 398
 399
 400 Q: Microsoft Internet Explorer <=6 seems paints strange blocks around
 401    images.
 402
 403 A: Use Firefox, Konqueror, Safari, Opera, IE >= 7, etc. IE is broken and
 404    I don't want to waste my time with working around this old crap. There's
 405    a quick hack, if you just put "iePngWorkaround='true'" inside the main
 406    section of your gosa.conf. This is a JavaScript based workaround and I've
 407    to place a WARNING here, that it is damn slow if you've large lists to
 408    display.
 409
 410    If you have much time, you can provide a seamless integration with MS
 411    filter css extension.
 412
 413
 414 Q: Is there a way to let users change passwords without logging into GOsa?
 415
 416 A: Yes. Browse to "password.php". You can preset a couple of things i.e.:
 417
 418    http://your.admin.server/password.php?uid=cajus&method=md5&directory=GONICUS+GmbH
 419
 420
 421 Q: GOsa only shows 300 entries at a time. Is this normal?
 422
 423 A: There's a default sizelimit. You can set the "ldapSizelimit" option in your
 424    gosa.conf's  location section to a higher value to get rid of it.
 425
 426
 427 Q: I have problems with my ldap server when I open groups with
 428    a huge amount of members, what can I do?
 429
 430 A: You can set a nesting limit which ensures that the user names will not be
 431    resolved if the amount of members reaches this limit.
 432    <location
 433         ...
 434         ldapFilterNestingLimit="100"
 435         ... />
 436    </location>
 437
 438
 439 Q: I want to disable the "Is the configuration file up to date?" check when logging in.
 440    How can I disable this check?
 441
 442 A: Just set the configVersion attribute to an empty value:
 443    <conf configVersion="" >
 444
 445
 446 Q: I've shredded my access control and am not able to do anything from now on. Is there
 447    a way to override the ACL?
 448
 449 A: Yes. Insert the following statement in the location section of your gosa.conf:
 450
 451    ignoreAcl="your user's dn"
 452