ud-generate: Add an extra output file called all-users.json

That file can be used on one of the AFS hosts to create afs users.

Add ud-krb-reset, and make ud-mailgate call it when receiving a mail at chpasswd@ saying 'Please change my Kerberos password'.

ud-mailgate:  minor refactoring

Fix ACL rule for keyring maintainers

A class shouldn't write to stderr on error, it should throw an exception

update debian/changelog

Merge branch 'refactor-udgen'

* refactor-udgen: (24 commits)
  Get rid of global variable PasswdAttrs
  GenBSMTP
  GenDNS
  GenPasswd
  GenShadow
  Do not forget that passwords start with {crypt}
  GenShadowSudo
  GenSSHShadow
  fix not-array-value-but-multiple-values check
  GenGroup partially
  GenForward
  GenCDB
  And GenMailList
  whitespace fixes
  And GenMailBool
  Let disable-main-msg generation use Account class
  Let disabled-users generation use Account class
  Let private generation use Account class
  Catch the case where attributes that are not declared as an array value have more than one value.  This indicates a bug in the data, code, or ldap schema
  Some improvement over the last path
  ...

Get rid of global variable PasswdAttrs

GenBSMTP

GenDNS

GenPasswd

GenShadow

Do not forget that passwords start with {crypt}

GenShadowSudo

GenSSHShadow

fix not-array-value-but-multiple-values check

GenGroup partially

GenForward

GenCDB

And GenMailList

whitespace fixes

And GenMailBool

Let disable-main-msg generation use Account class

Let disabled-users generation use Account class

have a proper distribution

release 0.3.77

Let private generation use Account class

Catch the case where attributes that are not declared as an array value have more than one value.  This indicates a bug in the data, code, or ldap schema

Some improvement over the last path

Let markers generation use Account class

give Account class a __getitem__ method and use it

Let Account have a constructor that is more useful in generate

optionally read some configuration items from the environment so we can test ud-generate without running it as sshdist

ud-generate: refuse to run as root

debian/changelog update

Give keyring-maint write access to keyFingerPrint

However, make an exception for supplementaryGid=adm users for security
reasons (wouldn't want keyring-maint to be able to takeover a root
account).

The ACL gives writes to a non-existing group; this should be created,
e.g.
  cn=Keyring Maintainers,ou=users,dc=debian,dc=org
  objectClass: top
  objectClass: groupOfNames
  cn: Keyring Maintainers
  member: uid=noodles,ou=users,dc=debian,dc=org
  member: uid=gwolf,ou=users,dc=debian,dc=org

Signed-off-by: Peter Palfrader <peter@palfrader.org>

labeledURI, ircNick, icqUIN, jabberJID are all exposed via finger anyway.  No need to restrict them to d.o hosts

Remove redundant attributes: loginShell and onVacation were already matched by the read-from-d.o ACL

commenta update

sshrsaauthkey is only readble by self.  everyone else does not even get to compare it

comment update

Merge remaining d.o readable attributes into one ACL

Break out self-writable attributes to their own ACL

comment update

Minor simplification of slapd.conf's ACLs

Avoid repetition of the rule that allows cn=LDAP Administrator and uid=sshdist
to write to every attribute by taking advantage of the "break" control
field.

Signed-off-by: Peter Palfrader <peter@palfrader.org>

Fix a typo in welcome-message-800 noticed by Tommi Vainikainen

prototype code for sshfp generation for services

Signed-off-by: Stephen Gran <steve@lobefin.net>

Maybe fix ud-mailgate

some changelog entries for today's work

Signed-off-by: Stephen Gran <steve@lobefin.net>

gratuitous code style change

Signed-off-by: Stephen Gran <steve@lobefin.net>

add txt record support

Signed-off-by: Stephen Gran <steve@lobefin.net>

write one identifying txt entry per host, if it has an a or aaaa record

Signed-off-by: Stephen Gran <steve@lobefin.net>

drop some dead code

Signed-off-by: Stephen Gran <steve@lobefin.net>

Probably should only delete keyFingerPrint if it exists

Add ud-lock

ud-lock, non-interactively, sets a great many accounts to
'retiring', locking their password, removing keys, setting shadow
information to expired and setting accountstatus appropriatly.

ud-gpgimport: Get rid of "0x" when printing keyids/fingerprints.

A set of copyright headers

ud-mailgate: fix gpg result usage

We use the result of the pgp check for quite a long time in the main
program.  Give it its own variable instead of using Res which was
overwritten a bit later.  Also make a new gpgcheck2 class that allows us
to access the values of the gpg signature check in a saner way.

ud-mailgate: Remove a global declaration after a variable has already been assigned globally.

Fix changelog

finalize changelog for release

Signed-off-by: Stephen Gran <steve@lobefin.net>

add trailing newline to ssh files

Signed-off-by: Stephen Gran <steve@lobefin.net>

do not accept invalid allowed_hosts for ssh keys

Check them against a list ValidHostNames that is generated during
startup.

added a bug report comment

made ud-generate support new ssh key syntax

write machine specifications for ssh keys to ldap

parse machine specifications for ssh keys

Ssh keys can now be prepended with a string
"allowed_hosts=machine1,machine2 ". Machine names are restricted to
sane characters. This patch only adds the parsing and throws away the
result.

Include a host in DNS even if we do not have both ssh keys and an arch for that host configured

ud-generate: move the regex that determines whether or not to include a host in the dns-sshfp zone snippet (for SSHFP and A, AAAA and MX records) to the config file.

ud-useradd: Properly encode realname in subjects and to header lines regardless of which template is being used

Fix welcome-message to be like welcome-message-800 and 60000 wrt email headers

ud-useradd: Only ask for private subscription if this installation has a debian-private like mailinglist whose membership is configured by ud-ldap.  (defaults to true.)

ud-useradd: Fix usergroup support: Move ldap call to actually add the user to the right place, properly compare strings and numbers.

ud-useradd: If we do not have a template for a specific group, use the general purpose template file (welcome-message).

Fix changelog: mention which tool we modified

Export groups even if nobody has that group as a supplementary group, as long as there are users that have it as a primary group

make a stab at really not exporting empty groups

Signed-off-by: Stephen Gran <steve@lobefin.net>

new release changelog started

Signed-off-by: Stephen Gran <steve@lobefin.net>

default anti-spam options

Signed-off-by: Stephen Gran <steve@lobefin.net>

spot the obvious typo

Signed-off-by: Stephen Gran <steve@lobefin.net>

and update ldap schema and acls appropriately.  *cough*

Signed-off-by: Stephen Gran <steve@lobefin.net>

release

Signed-off-by: Stephen Gran <steve@lobefin.net>

changelog for new mail forward file

Signed-off-by: Stephen Gran <steve@lobefin.net>

Initial support for BATV token storage.

generate a new file for mail forwards for users present on this machine

Signed-off-by: Stephen Gran <steve@lobefin.net>

prepare to reuse GenCDB with a shorter list of users

Signed-off-by: Stephen Gran <steve@lobefin.net>

spot the obvious typo - I wonder why the serial has been incrementing like mad

Signed-off-by: Stephen Gran <steve@lobefin.net>

welcome-message-60000: improve wording of a sentence.  Sometimes less is more.

ud-generate: Make sure we only add people in gid 800 to debian-private.

DebianUsers was just a copy of PasswdAttrs.  So use PasswdAttrs in all
the places that currently use DebianUsers.  Make a filtered list
DebianDDUsers (accounts in gid 800), and use that for building the
debian-private subscription list.

Add dnsTTL host attribute to override the zone default TTL for A and AAAA records.  Also for MX, HINFO and SSHFP

Make zone reloads work when ud-generate updates zone files

make ud-replicate work slightly more accurately for zones

Signed-off-by: Stephen Gran <steve@lobefin.net>

Add sshdistAuthKeysHost

We autogenerate the authorized_keys files for sshdist on db-master.  It
limits the hosts' ssh key to coming from their respective addresses.
Now we can add additional source addresses to accept for this since not
all hosts appear to come from their published address (or have a
published address for that matter).

If we use accountstatus in debianGroup we need to re-order stuff

ud-generate: don't blow up when a host does not have IP-addresses

ahem.  Use the right attribute

Signed-off-by: Stephen Gran <steve@lobefin.net>

allow groups to be disabled but kept in ldap: addresses RT #977

Signed-off-by: Stephen Gran <steve@lobefin.net>

Tweak templates/welcome-message-60000.

Merge branch 'master' of ssh://db.debian.org/git/userdir-ldap

* 'master' of ssh://db.debian.org/git/userdir-ldap:
  Add debian-maintainers.gpg to keyrings and sync_keyrings.
  cast objects to strings (rt #1717)

Conflicts:

debian/changelog

ud-useradd: force gidNumber to be an int when we open the welcome
template (it can be different when we read it from input using -n).