gosa-core/FAQ

   1 This is the textual form of the GOsa FAQ. Online information with
   2 comments is set up at Wiki: https://oss.gonicus.de/labs/gosa/wiki/documentation
   3
   4
   5 Q:  When creating many users for one department, I need to fill
   6     somefields again and again. Is there a shortcut for that?
   7
   8 A:  Just create a user template and pre-fill all values you need. You
   9     can use dynamic content, too: uid, sn and givenName will be replaced.
  10     i.E. an entry '/home/{%uid}' in homeDirectory will be replaced by the
  11     real uid of the user you're creating, {%sn[0-4]}.{%givenName}@yourdomain.com
  12     creates proper email addresses, etc. Templates include group membership.
  13
  14     For more details visit:
  15     https://oss.gonicus.de/labs/gosa/wiki/PluginInstallationUserTemplates
  16
  17
  18 Q:  I can see passwords in my logs and in my process list while executing
  19     commands, such as postcreate/passwordHook/aso.
  20
  21 A:  The best way to execute scripts with sensitive data is to use envrionmental
  22     variables in your scripts, like shown here:
  23
  24     An example snippet from the gosa.conf
  25
  26     ---
  27     <plugin name='User password' class='password'
  28         postmodify="NEWPASSWORD=%new_password /usr/bin/sudo /scripts/myScript.sh"
  29     ---
  30
  31     Another example for the password check hook (The passwordHook is deprecated in GOsa 2.7):
  32     ---
  33     <location
  34         passwordHook="CURRENTPWD=%current_password NEWPWD=%new_password /usr/bin/sudo /scripts/myScript.sh"
  35     ---
  36
  37     You can then use the variables like this:
  38     ---
  39     #!/bin/sh
  40     echo $CURRENTPWD
  41     echo $NEWPWD
  42     ---
  43
  44
  45 Q:  Can GOsa execute commands 'BEFORE' creating/editing/removing users,departments, etc.
  46
  47 A:  Yes. Edit /etc/gosa/gosa.conf's menu section.
  48     Each plugin may has an entry "preremove", "premodify" and "precreate".
  49     You can use ldap attributes as command line options.
  50
  51     i.E.
  52     ---
  53     precreate="/usr/bin/sudo /usr/local/sbin/ftp.setperms %uid %givenName"
  54     ---
  55
  56
  57 Q:  Can GOsa execute commands 'AFTER' creating/editing/removing users,departments, etc.
  58
  59 A:  Yes. Edit /etc/gosa/gosa.conf's menu section.
  60     Each plugin may has an entry "postremove", "postmodify" and "postcreate".
  61     You can use ldap attributes as command line options.
  62
  63     i.E.
  64     ---
  65     postcreate="/usr/bin/sudo /usr/local/sbin/ftp.setperms %uid %givenName"
  66     ---
  67
  68
  69 Q:  I'd like to  modify the look of GOsa to fit our CI. How can I create anown theme?
  70
  71 A:  Themes are splitted into two parts. ihtml/ contains templates which
  72     generate the ui, html/ contains all parts that must be readable from
  73     clients. GOsa first looks for predefined files in the directory indirectly
  74     defined via the "theme" parameter in /etc/gosa/gosa.conf. If it can't
  75     find them here, it'll use the default one.
  76
  77     So start over by copying html/themes/default to html/themes/yourtheme
  78     and ihtml/themes/default to ihtml/themes/yourtheme. Change gosa.conf to
  79     contain theme="yourtheme" in section main. Here are some files to edit:
  80
  81     * login.tpl          -> login screen
  82     * framework.tpl    -> page contents
  83     * style.css          -> stylesheets used by GOsa
  84
  85
  86
  87 Q:  How can I let a person do administrative tasks under a specific department?
  88
  89 A:  GOsa 2.6 implements a flexible but complex ACL management, please have a look at
  90     the following wiki page: https://oss.gonicus.de/labs/gosa/wiki/DocumentationWritingACLs2.6
  91     If you have still questions, please use the mailing list or the forum.
  92
  93
  94
  95 Q:  What about applications?
  96
  97 A:  GOsa can manage desktop applications in ldap. Create a group and put all users
  98     in there, which have common desktop settings. Go to the "Application" tab and
  99     add all applications common to this group. Applications can be created from the
 100     application plugin.
 101     The idea behind this feature is a script running on the terminal-servers/
 102     workstation which check for applications on login (or on a regular basis using
 103     timestamps). This one will create the corresponding icons on your KDE or GNOME
 104     desktop.
 105
 106
 107
 108 Q:  What's this terminal stuff?
 109
 110 A:  GOto is - similar to LTSP - a ldap based diskless client system. It is available
 111     from our projects page.
 112
 113
 114
 115 Q:  I can't select any mailservers. What's wrong?
 116
 117 A:  It seems that a mail server is missing in your configuration.
 118     Create a new server, go to the services tab and add a mailserver
 119     service and/or the imap service.
 120     For more details, please have a look at the FAQ and
 121     https://oss.gonicus.de/labs/gosa/wiki/PluginInstallationMailMethods.
 122
 123
 124
 125 Q:  Can I specify some kind of password policies?
 126
 127 A:  You can place the keywords "passwordMinLength" and "passwordMinDiffer" in the main
 128     section of your gosa.conf. "passwordMinLength" specifies how many characters a
 129     password must have to be accepted. "passwordMinDiffer" contains the number of
 130     characters that must be different from the previous password.
 131
 132     Note that these only affect passwords that are set by the user, not by the admins.
 133
 134
 135
 136 Q:  I've to update passwords on external windows PDCs. Can I
 137     add a command to letsynchronize these for me?
 138
 139 A:  There's the possibility to add a hooks in gosa.conf's plugin tags
 140     using the "premodify/postmodify" keywords. The specified command
 141     will be executed with these additional parameters:
 142     * current_password
 143     * new_password
 144     * userPassword
 145
 146     ---
 147     <plugin acl="users/password:self" class="password"
 148      premodify="/scripts/prepareForPasswordChange %current_password %new_password %uid"
 149      check="/scripts/checkPasswordHash %userPassword %dn"
 150      postmodify="/scripts/changePassword %dn %uid %userPassword %current_password %new_password %userPassword"
 151     >
 152     ---
 153
 154     For further information about pre- and post hooks search for the premodify and postmodify statements.
 155
 156     So you can call i.e. smbpasswd to handle your password change on the PDC.
 157
 158
 159
 160 Q:  What about templates for vacation messages?
 161
 162 A:  Create a directory to keep a set of vacation messages which are readable by the
 163     user that runs your apache. In this example I'll use /etc/gosa/vacation for that.
 164
 165     Put your vacation files in there containing a "DESC:some descriptive text" as the
 166     first line followed by the normal vacation text. You can use all attributes from
 167     the generic tab. I.e.:
 168
 169     /etc/gosa/vacation/business.txt
 170     ---
 171      DESC:Away from desk
 172      Hi, I'm currently away from my desk. You can contact me on
 173      my cell phone via %mobile.
 174
 175
 176      Greetings,
 177      %givenName %sn
 178     ---
 179
 180     Place the config option vacationTemplateDirectory="/etc/gosa/vacation" in the location found in
 181     gosa.conf and a template box is show in the vacation mail tab.
 182
 183
 184
 185 Q:  How can I generate automatic ID's for user templates?
 186
 187 A:  Add an entry describing your id policy in gosa.conf, location section:
 188
 189
 190     1) Using attributes
 191     You can specify LDAP attributes (currently only sn and givenName) in braces {}
 192     and add a percent sign befor it. Optionally you can strip it down to a number
 193     of characters, specified in []. I.e.
 194
 195     ---
 196     idGenerator="{%sn}-{%givenName[2-4]}"
 197     ---
 198
 199     will generate an ID using the full surename, adding a dash, and adding at least
 200     the first two characters of givenName. If this ID is used, it'll use up to four
 201     characters. If no automatic generation is possible, a input box is shown.
 202
 203     2) using automatic id's
 204     I.e. specifying
 205
 206     ---
 207     idGenerator="acct{id:3}"
 208     ---
 209
 210     will generate a three digits id with the next free entry appended to "acct".
 211
 212     ---
 213     idGenerator="ext{id#3}"
 214     ---
 215
 216     will generate a three digits random number appended to "ext".
 217
 218
 219
 220
 221 Q:  I'm migrating from the current LDAP, now GOsa does not allow uid's
 222     and groupwith upper/lower case and spaces. What can I do?
 223
 224 A:  Include the strictNamingRules="no" keyword in your gosa.conf's location section.
 225
 226     WARNING: using strictNamingRules="no" will cause problems with cyrus/postfix!!
 227
 228
 229
 230 Q:  I'd like to place my users under ou=staff, not under ou=people. Can I changethis?
 231
 232     Yes. You can change the people and group locations by adding the following
 233     statements to your location sections:
 234
 235     ---
 236     userRDN="ou=staff"
 237     groupRDN="ou=crowds"
 238     ---
 239
 240     After logging in again, people and groups are created in the configured places.
 241     As a side note, you can leave these strings blank for flat structures, too.
 242
 243
 244
 245
 246 Q:  I really don't want dn's containing the CN for user accounts because I don't
 247     want to support anonymous binds for uid resolution.
 248     Is it possible to have dn'scontaining the uid instead?
 249
 250 A:  Yes. Placing the accountPrimaryAttribute="uid" keyword in your gosa.conf's location
 251     section will solve your problem.
 252
 253
 254
 255
 256 Q:  Hey, I've installed GOsa, but it claims something about "SID and / or RIDBASE
 257     are missing in your configuration". What's wrong?
 258
 259 A:  You've configured GOsa to use samba3, but your LDAP has no samba domain object
 260     inside. Either log into samba for the first time to let it create that object,
 261     or supply the sid and ridbase for your domain in your gosa.conf's location, i.e.:
 262
 263     ---
 264     <location name=...>
 265         ...
 266         sambaRidBase="1000"
 267         sambaSID="0-815-4711" \>
 268     ---
 269
 270     Remember to fill in your real domain sid which is retrievable by the command
 271     "net getlocalsid".
 272
 273
 274
 275 Q:  We have massive performance problems with using samba as a member server.
 276
 277 A:  This is a known issue. We're working around this by putting
 278
 279     ---
 280     <location name=...>
 281         ...
 282         sambaIdMapping="true"
 283         ... \>
 284     ---
 285
 286     into the configuration. GOsa will write the additional objectClass sambaIdmapEntry
 287     to the group and user objects.
 288
 289
 290
 291 Q:  I get 'The value specified as GID/UID number is too small' when forcing IDs. Why?
 292
 293 A:  This is an additional security feature, so that no one can fall back to uid 0. The
 294     default minimum ID is 100. You can set it to every value you like by specifying
 295
 296     ---
 297     <location name=...>
 298         ...
 299         minId="40"
 300         ... \>
 301     ---
 302
 303     in your configuration. In this example 40 will be the smallest ID you can enter.
 304
 305
 306
 307 Q:  Aahhrg. I've updated to a new version and my gosa.conf seems to be broken.
 308
 309 A:  Some parameters may have changed. Please move your gosa.conf away and re-run the setup.
 310
 311
 312
 313
 314 Q:  I've saved my windows workstations in other locations like GOsa is doing it
 315     for decades. Is there a way to change this?
 316
 317 A:  Yes. Use the sambaMachineAccountRDN parameter in your location section:
 318
 319     ---
 320     <location name=...>
 321         ...
 322         sambaMachineAccountRDN="ou=machineaccounts"
 323         ... \>
 324     ---
 325
 326
 327
 328 Q:  I'd like to have TLS based LDAP connections from within GOsa. Is this possible?
 329
 330 A:  Yes, add
 331
 332     ---
 333     <location ...>
 334         ...
 335               ldapTLS="true"
 336         ... \>
 337     ---
 338
 339     to the location section of GOsa. This switch affects LDAP connections for a single location only.
 340
 341
 342
 343 Q:  Cyrus folder get created in the style user.username. I prefer the unix
 344     hirachystyle user/username. Is it possible to change this?
 345
 346 A:  Yes, add
 347
 348
 349     ---
 350     <location
 351         cyrusUseSlashes="true"
 352     ---
 353
 354     to the location or main section of GOsa and the folders are created in unix style.
 355
 356
 357
 358 Q:  I've a cyrus installation with customized user and folder prefixes.
 359     How can I tell GOsa to use the prefixes I prefer?
 360
 361 A:  Simply set the following attributes in the location tag of your gosa.conf:
 362
 363     ---
 364     <location
 365         mailUserCreation="myprefix/%mail%"
 366         mailFolderCreation="myfolder\\.%cn%@%domain%"
 367     ---
 368
 369
 370     The dot in the above example is escaped to prevent it from replacing with '/' if
 371     cyrusUseSlashes is set to true.
 372
 373
 374     You can use the following replacements:
 375     ---
 376     %cn%       - The groups cn.
 377     %uid%      - The users uid.
 378     %prefix%   - The default prefix used by the mailmethod.
 379     %uattrib%  - The configured mailAttribute="" (gosa.conf).
 380     %domain%   - The domain part of the given mail address. (user@domain.com = domain.com)
 381     %mailpart% - The user part of the mail address. (user@domain.com = user)
 382     %mail%     - The complete mail address.
 383     ---
 384
 385
 386
 387 Q:  I want to use cyrus for multiple mail domains, but GOsa uses the 'uid' attribute
 388     for account namens, how do I change this to 'mail'?
 389
 390 A:  Just add/modify the following line to/in your gosa.conf:
 391
 392     ---
 393     <location
 394         ...
 395         mailAttribute="mail"
 396     ---
 397
 398
 399
 400 Q:  I'd like to do special checks for several plugin parameters. How can I modify
 401     GOsa to take care of these checks?
 402
 403 A:  No need to modify anything. Just add a hook the the plugin you'd like to
 404     check:
 405
 406     ---
 407     check="/your/command/binary"
 408     ---
 409
 410     This binary will get an ldif to STDIN for analysis and may write an error message
 411     to STDOUT. Note, that the supplied ldif may NOT be the original target ldif due
 412     to technical reasons.
 413
 414
 415
 416 Q:  Is there a way to use ACL independet filtering when using administrative units?
 417
 418 A:  Yes. Set "honourUnitTags" to "true" in your gosa.conf's location section.
 419
 420
 421
 422 Q:  How can i active the account expiration code for the gosa interface?
 423
 424 A:  Yes. Just set "handleExpiredAccounts" to "true" in your gosa.conf's main section.
 425
 426
 427
 428 Q:  What is the correct connection string for a Kolab server in GOsa?
 429
 430 A:  Try {localhost:143/novalidate-cert}.
 431
 432
 433
 434 Q:  Sieve is not working from GOsa - there are authentication problems
 435     with this service, IMAP/POP is working. What's wrong?
 436
 437 A:  Verify that the paramater sasl_auto_transition: no is not present in your imap.conf
 438
 439
 440
 441 Q:  I have a SIEVE problem - "Can't log into SIEVE server. Server  says //. -
 442
 443 A:  Probably something is wrong with the authentification which is used by timesieved.
 444     * Check if you can login with "sieveshell" on this host.
 445     * Also check "telnet localhost 2000" - Is there any output about "Plain Login"?
 446
 447     Please verify the ldap imap attributes, like goImapSieveServer and goImapSievePort.
 448     These value can be modified using the server->services tab in GOsa 2.6.
 449
 450     Here is an older, but maybe helpful solution for Cyrus-Imapd 2.1.5 on SuSE 9.0:
 451     * Install the "cyrus-sasl-plain" rpm from the distro-cd (This packet contains "sasl2/libplain" library).
 452     * Modify your /etc/imap.conf:
 453
 454     ---
 455     sasl_pwcheck_method: saslauthd
 456     sasl_mech_list: plain login
 457     ---
 458
 459     * Modify your /etc/sysconfig/saslauthd:
 460
 461     ---
 462      SASLAUTHD_AUTHMECH=pam
 463     ---
 464
 465
 466 Q:  Slapd does not start after adding or changing schema files to the slapd config. What can I do?
 467
 468 A:  Check the order of how slapd loads the schema files.
 469     Order of schema loading matters, because some schemas depend on other
 470     schemas being already loaded. For a working order of the schema files
 471     look here: https://oss.gonicus.de/labs/gosa/wiki/InstallingLdap
 472
 473
 474
 475 Q:  Slapd does not start with kolab2.schema included. It claims that thedefinition of
 476     calFBURL is missing. What can I do?
 477
 478 A:  For Kolab to work correctly you have to include the rfc2739.schema
 479     in your slapd.conf. Insert it before the kolab2.schema
 480
 481
 482
 483 Q:  New implementations of OpenLDAP seem to require {sasl} instead of {kerberos}
 484     in password hashes. GOsa writes the wrong string. What can I do?
 485
 486 A:  You can set "useSaslForKerberos" to "true" in your gosa.conf's main section.
 487
 488
 489
 490 Q:  Is there a way to add the personalTitle attribute the the users dn?
 491
 492 A:  Just add this line into the location section of your gosa.conf.
 493
 494
 495     ---
 496     <location
 497     ...
 498     personalTitleInDN="true"
 499     ---
 500
 501
 502
 503 Q:  I'd like to assign different uid bases for certain user/group objects.How can this be achieved?
 504
 505 A:  Use the 'baseIdHook' in your gosa.conf's location section to specify a script
 506     which handles the ID generation externaly. It get's called with the "dn"
 507     and the attribute to be ID'd. It should return an integer value.
 508
 509
 510
 511 Q:  I'd like to use rfc2307bis compliant groups. Is this possible?
 512
 513 A:  Yes - place the rfc2307bis="true" inside of the location section of
 514     your gosa.conf. Remember, that you can't create empty groups in this mode.
 515
 516
 517
 518 Q:  GOsa sessions expire too quick. Is there a way to change this?
 519
 520 A:  Yes. Set "sessionLifetime" to the number of seconds of inactivity. 7200
 521     (60x60x2) would be for two hours. Place this option inside the main
 522     section of your gosa.conf.
 523
 524
 525
 526 Q:  Is there a way to let users change passwords without logging into GOsa?
 527
 528 A:  Yes. Browse to "password.php". You can preset a couple of things i.e.:
 529
 530     ---
 531     http://your.admin.server/password.php?uid=cajus&method=md5&directory=GONICUS+GmbH
 532     ---
 533
 534
 535
 536 Q:  GOsa only shows 300 entries at a time. Is this normal?
 537
 538 A:  There's a default sizelimit. You can set the "ldapSizelimit" option in your
 539     gosa.conf's  location section to a higher value to get rid of it.
 540
 541
 542
 543 Q:  I have problems with my ldap server when I open groups with a
 544     huge amount of members, what can I do?
 545
 546 A:  You can set a nesting limit which ensures that the user names will not be
 547     resolved if the amount of members reaches this limit.
 548
 549     ---
 550     <location
 551         ...
 552         ldapFilterNestingLimit="100"
 553     ---
 554
 555
 556 Q:  I want to disable the "Is the configuration file up to date?" check when logging in.
 557     How can I disable this check?
 558
 559 A:  Just set the configVersion attribute to an empty value:
 560
 561     ---
 562     <conf configVersion="" >
 563     ---
 564
 565
 566
 567 Q:  I've shredded my access control and am not able to do anything from now on.
 568     Is there a way to override the ACL?
 569
 570 A:  Yes. Insert the following statement in the location section of your gosa.conf:
 571
 572     ---
 573     ignoreAcl="your user's dn"
 574     ---
 575
 576
 577 Q:  I can't logon as Administration, what is wrong?
 578
 579 A:  It looks like you are missing an administrativ account.
 580     In newer versions of GOsa you can simply re-run the setup and create
 581     an admin account on the migration page.
 582
 583     Additionally you can set ignoreACL in GOsa 2.6, just search the FAQ.
 584
 585
 586
 587 Q:  The Unix's user's shell list is empty (unconfigured)
 588
 589 A:  Just copy or link your /etc/shell in /etc/gosa.
 590
 591
 592
 593 Q:  After upgrading GOsa, the setup.php doesn't work or looks broken.
 594
 595 A:  You should delete all files in /var/spool/gosa
 596
 597     ---
 598     # cd /var/spool/gosa
 599     # rm -rf *
 600     ---
 601
 602
 603
 604 Q:  After installing GOsa using an existing LDAP tree, my user accounts are not listed.
 605
 606 A:  You need to add the following objectClasses to your accounts:
 607
 608     ---
 609     objectClass: person
 610     objectClass: organizationalPerson
 611     ---
 612
 613     The setup will automatically migrate those accounts, see migration step in GOsa setup!
 614
 615
 616
 617 Q:  Is it possible to login with the users mail address too?
 618
 619 A:  Yes, just add the following line to your gosa.conf:
 620
 621     ---
 622     <location
 623         ...
 624         loginAttribute="mail"
 625     ---
 626
 627     or for both, uid and mail:
 628
 629     ---
 630     <location
 631         ...
 632         loginAttribute="uid,mail"
 633     ---
 634
 635
 636
 637 Q:  GOsa doesn't seem to follow my referrals. What can I do?
 638
 639 A:  Place the option 'ldapFollowReferrals = "true"' inside your locations definition
 640     and you should be fine.
 641
 642
 643
 644 Q:  GOsa is not in my native language, can I translate it to my language?
 645
 646     Yes. Just go to the locale directory and copy the messages.po file somewhere
 647     else. (Translation is splitted into core and plugin translation files).
 648     Edit the copy and put your translations into the msgstr lines. To be
 649     included in next GOsa releases, you may want to send it to the GOsa maintainer.
 650     Finally you need to create a directory with your language code. (i.e. de for
 651     german) containing the LC_MESSAGES directory. Move your messages.po file there
 652     and run 'msgfmt messages.po' in that directory. That's it.
 653
 654     You may need to restart apache, depending on your setup. On Debian, be sure
 655     to have your locale generated (dpkg-reconfigure locales) before.