An example constraint overlay
Signed-off-by: Stephen Gran <steve@lobefin.net>

Make contentinspection single value
Signed-off-by: Stephen Gran <steve@lobefin.net>

merge local changes from draghi: localsyncon = "*draghi*" and database hdb

0.3.67

.debian.net DNS no longer creates BSMTP maps for MX 0 gluck

Add mailContentInspectionAction attribute.  Possible values are reject, blackhole and markup.

Remove obsolete comment

Change the comment about tracking changes in the debian changelog

Remove mailSpamOptOut ldap attribute - it isn't used anywhere.

.gitignore
Signed-off-by: Stephen Gran <steve@lobefin.net>

Merge branch 'master' of ssh://db.debian.org/git/userdir-ldap

* 'master' of ssh://db.debian.org/git/userdir-ldap:
  More
  More indexing
  Some additional indexing

.debian.net DNS creates BSMTP maps for MX 0 master in addition to gluck

More
Signed-off-by: Stephen Gran <steve@lobefin.net>

More indexing
Signed-off-by: Stephen Gran <steve@lobefin.net>

Some additional indexing
Signed-off-by: Stephen Gran <steve@lobefin.net>

This is much simpler.
Signed-off-by: Stephen Gran <steve@lobefin.net>

3 changes:
  DisabledUsers should only be set for accounts that are locked, not all accounts
  IsGidDebian is not a helpful check right now
  The filter needs to be a lambda operator

Two problems with my first commit:

We need to specify the RFC 2047 character set as utf-8, not us-ascii,
for the encoding type field in the header

We need to only encode the FullName, and then tack on the emailaddr.
The examples in the RFC show this behavior, and at least mutt won't
decode the header if the email address is also RFC 2047 encoded (which
makes some sense - currently email addresses can only really be ascii).

Use RFC 2047 header encoding when name contains non ascii characters.

AIUI, we are supposed to use the shorter of quoted printable or base64
for utf-8 headers, so we try to decode the header into ascii, and if that
fails, we select the shorter encapsulation and use that in the template.

This change requires importing the module email, which also means changing
all the uses of the variable 'email' into emailaddr so we don't break
usage of the email module.

One more exception and clearer exception messages

Merge changes back in

debian/changelog for today's work

Some general code cleanup

Some cleanup in IsRetired()

Does this matter?  I'll predeclare DebianUsers just in case

More loop logic cleanup - we only handle mail for gid Debian, so we
create a new list of users with that gid, and only look at that list
for Mail purposes.

More of "We don't use the LDAP object in these functions, so I don't see why we're passing it in.  I'm going to try removing it and see what breaks."

We don't use the LDAP object in these functions, so I don't see why we're passing it in.  I'm going to try removing it and see what breaks.

Some reordering of file generation so that we can do fewer redundant checks

return of the whitespace nazi

Do the checks for mail forwarding once at the start

Whitespace and semicolon cleanup only - no code changes

Moving away from string exceptions

Begin a cleanup of loop logic

Stop exporting information about retired developers

Stop exporting locked accounts

ud-replicate no longer uses localsyncon=*samosa*.

We would previously ignore purpose hosts for ssh known hosts purposes if the
service name would not start the purpose field.  Fix this.

userdir-ldap.conf: remove from default keyrings:
 - /home/jgg/keys/extrakeys.gpg
 - /home/jgg/keys/guest-keys.gpg

ud-gpgimport: work on add_keyrings if no keyrings are given on the command line

userdir_gpg.py: add a ClearKeyrings()

userdir-ldap.conf: add keyring.pgp to default add_keyrings

Print gpg's exit status when it fails

ud-generate: do not die when building ssh_known_hosts just because a host is
not (yet) in DNS.

Gratuitous version increment

Actually install the new exceptions module

* Stop using string exceptions in ud-mailgate.  We should probably stop
  using them everywhere, but this one is causing bounces, so we'll deal with
  it first.
* Create an exception generator to make it easy to create new types of
  exceptions.

0.3.59

More tweaks on welcome-message-800

Apply patch to welcome-message-800 provided by Sandro Tosi:
 - some machines/services have been renamed
 - point to http://wiki.debian.org/MigrateToDDAccount

Remove a lie from welcome-message-60000 - not that it's the only one.

export dns zones to the zonefile for roleaccounts

Role accounts may have dnsZoneEntry attributes

ud-info: Fix regression from r493: When we log in as admin user and modify
another user we got shown that other user but all changes would be made against
our own record.

In ud-mailgate use an empty envelope from when sending error messages

There is a deadlock situation when ud-mailgate gets a mail claiming to be from
itself:
 - ud-mailgate opens and locks the replay cache
 - verification of the mail fails for whatever reason
 - a reply is sent (to itself)
 - exim tries to deliver the mail by directly calling ud-mailgate
 - ud-mailgate tries to acquire the lock -> deadlock
Fix this by changing when we open the replay cache, and unlock it as soon as we
are done.

Adjust boolean value detection code to use upper case letters in the
end.  Enable it for all three boolean attributes.  Widen tabular
display by one character so the description fits again.  Finalise new
changelog entry.

well, debianDevelopers also want to opt-out.... ;-)

Add Joey and me to Uploaders:

reformat debian/changelog

Patch by Thomas Viehmann: remove code copy of getpass

Patch by Thomas Viehmann: Also add IPv6 to debianhosts

Patch by Thomas Viehmann: Also add IPv6 to debianhosts

Add support for this attribute in ud-info taking into account that
only boolean values are acceptable and document it

opt out spam filtering

Do not call FinishConfirmSudopassword if we already decided to not commit this
change mail because of parse errors.

Fix formatting of PGP fingerprints - the double space was always one element
too early.

Properly show shadowlastchange and mail disabled message when locking an
account, but not disabling email.  It was written to ldap correctly, but we
updated the data to display wrongly.

New version number

Also do the subgroups/transitive stuff dance when considering if a user is in a group for exporting them to a host in the first place

call addGroups with the proper number of arguments, when doing so recursively.

Fix group does not exist warning (layout/spacing issues)

Remove cruft comment

Add hostnames from the host purpose field to the ssh_known_hosts file (by tomv_w)

subgroup support, courtesy of luk

Update template/welcome-message-800 to match the actual template used on
db.debian.org.

ud-generate: Support $gid@$host supplementary group entries for users.

ud-replicate: Only link ssh-rsa-shadow to var/lib/misc/$host and etc/ssh if it exists.  Else remove the symlink.

* ud-generate: Remove support for single ssh key shadow file.
* ud-generate: Make ssh key tarballs the default.
* ud-generate: Move ssh tarball generation into its own function.  Currently it's part of the main loop.

Fix a typo on ud-mailgate

Change the hmac that protect sudopassword entries to also hash the purpose
("sudo") and the owning user's uid into the mac.

ud-replicate: Sync only ssh_known_hosts into chroots, not ssh*.
ud-replicate: Clean up better, correcting some mistakes done by earlier versions.

ud-replicate: Use --delete-after with   Previously we didn't delete stuff ever

ud-generate: Declare [UNTRSUTED] flag as obsolete.
ud-generate: Add [NOMARKERS] flag to not push markers (gps coordinates) to host.

ud-generate: do not export sudopassword to untrusted or nopasswd hosts, unless the password is explicitly added for this host and not just for '*'

add vim settings

Whitespace changes only

Do not support del requests for sshDSAAuthKey - there is no such attribute

FQHNs sometimes, well always, include dots.

Say what pam.d/sudo should look like

Export all accounts into sudo-passwd, even if they do not have a sudo password
set.  Set their password to '*' then.

lower casing the sudopasswd ldap entry prior to parsing and verifying it was a bad idea

Reading the hmac key only once is too troublesome

Lowercasing hashed sudo passwords in ud-mailgate not considered smart

Also the hmac stuff

Using the right variable name will also help

and os

And import pwd in userdir_ldap

Fix order of some calls so stuff works again

0.3.37