error changing the password for

dawuid 2018-09-14 17:58:31 UTC #1

Hallo,
EGW 17.1.20180831 läuft auf Ubuntu 18.04. Seit langem funktioniert das ohne Probleme mit der Konfiguration AUTH LDAP / Benutzerkonten in LDAP.
Stelle ich die Benutzerkontenführung um auf SQL und will z.B. einen neuen Benutzer anlegen, erhalte ich den Fehler: error changing the password for 123.
In der Datenbank wurde dann der Benutzer angelegt, im LDAP fehlt dieser.
Was mache ich falsch? Im Apache-Log finde ich leider keine Hinweise.

Eigentlich würde ich gerne die Benutzerkonten in der DB führen, damit ich Verteiler mit Benutzerkonten verwenden kann. Im LDAP benötige ich aber trotzdem Daten für den Cyrus-Imap-Server.

Schon jetzt mal vielen Dank für eure Hilfe, Axel

dawuid 2018-09-19 21:15:34 UTC #2

Hallo,

nach längeren interessanten Recherchen hier meine Erkenntnisse:

Ich nehme an, dass bei der Kombination AUTH in LDAP und Benutzerkonten in SQL es nicht möglich ist, einen neuen Benutzer über EGroupware anzulegen? Ich kann bei bestehenden Benutzern bei dieser Kombination die Passwörter ändern, aber keinen neuen Benutzer anlegen.

Dann wäre mein Fazit: Für den den Cyrus-Imap muss ich auch weiterhin die Benutzerkonten zwingend im LDAP führen (wenn ich Daten nicht doppelt pflegen will).
Gibt es dann irgend eine Möglichkeit, im Adressbuch Verteiler für Benutzerkonten anzulegen?
Vermutlich nein.

Kann das jemand bestätigen oder widerlegen?

Danke und viele Grüße, Axel

RalfBecker 2018-09-20 07:04:06 UTC #3

Wenn Du nur Auth gegen LDAP machst, kannst Du nur Auth gegen LDAP machen, und dort aus EGroupware raus keine Benutzer anlegen.
Wenn Du aus der EGroupware im LDAP Benutzer anlegen willst, oder auch Mail Attribute wie Forwards oder Aliases oder Gruppen als Verteilerlisten verwalten willst, musst Du die Benutzer (der EGroupware) im LDAP speichern.
Dazu muss die EGroupware Datenbank migriert werden, sprich die dort verwendeten numerischen IDs für Benutzer und Gruppen müssen den uid/gidNumber des LDAP angepasst werden. Dafür gibt es in EGroupware Scripte die das machen:

github.com

EGroupware/egroupware/blob/master/doc/ad-migration.sh

#!/bin/bash
#
# Usage: ./ad-migration.sh < user.csv | bash
#
# STDIN is csv with: <account_lid>,<account_id>,<AD-user>,<SID>,<RID>
#
# <account_id> has to be negative number for groups (eg. -123 for account_id=123)!
#
# Following command should be used as startpoint for the list:
# mysql -B -e "select account_lid,CASE account_type WHEN 'u' THEN account_id ELSE -account_id END,account_lid FROM egw_accounts ORDER BY account_type!='u',account_lid" egroupware | sed 's/  /,/g'
# Change <AD-user> if not equal to <account_lid> and append ,,<RID> to each line.
#
# If migration to LDAP instead of AD use uidNumber (gidNumber for groups) as <RID>.
# <SID> is NOT used and can be empty.
#
# Change following 2 lines to an EGroupware user with admin rights and his password
#
ADMIN=sysop
PASSWD=PW

This file has been truncated. show original

Unser Support ist für so eine Migration immer der beste Ansprechpartner.
Ralf

RalfBecker 2018-09-20 07:09:39 UTC #4

Du meinst mit Benutzern im LDAP, Benutzer in Verteilerlisten aufzunehmen.
Gemischte Verteiler mit Benutzern (im LDAP) und weiteren Kontakten in der DB gibt es nicht.

Was es unter LDAP gibt, vorausgesetzt Du setzt eines der unterstützten LDAP Schema ein, ist Gruppen eine EMail Adresse zuzuweisen. Damit können diese als Verteiler verwendet werden, in dem man diese EMail Adresse anschreibt.

Ralf

dawuid 2018-09-21 17:58:22 UTC #5

Guten Abend Ralf,
vielen Dank für deine Antworten.

Das machen wir bereits und schützen diese Mailadressen gegen Missbrauch von extern durch einen vorgelagerten Mailserver. Nun hatte ich die Idee, auf dem Mailserver eine Domain anzugeben (z.B. meinedomain.local) auf die kein MX-Eintrag zeigt und dann z.B. alle@meinedomain.local in den Gruppen zu vergeben. Habe ich aber noch nicht getestet.
Eine weitere Idee war, LDAP regelmäßig ins Adressbuch zu migrieren, damit Benutzer eigene Verteiler anlegen können. Danke für den Hinweis mit dem Skript. Man muss allerdings dann auch gelöschte Benutzer ebenfalls wieder entfernen.

Noch eine Frage: Wenn ich eine Mail schreibe, werden im Adressfeld zu den Mailadressen auch die Gruppen vorgeschlagen. Wähle ich eine Gruppe aus und versende die Mail, erhalte ich die Meldung, dass erfolgreich versendet wurde, im Hintergrund passiert aber nichts. Im Gesendet-Ordner wird ebenfalls nichts angezeigt.
Habe ich was falsch konfiguriert?

Viele Grüße, Axel

RalfBecker 2018-09-24 06:53:54 UTC #6

Speichere die Gruppe mal in EGroupware. Ich vermute die EMail Adressen der einzelnen Mitglieder sind in der Gruppe einfach nicht eingetragen. Der Gruppe wird eine EMail Adresse im entsprechenden Schema eingetragen und forward Adressen für jedes Mitglied.

Ralf

dawuid 2018-09-24 15:39:49 UTC #7

Hallo Ralf,

ich habe es gerade mit Version 16.09.002 getestet.
Wenn ich über die Gruppenverwaltung die Gruppe anlege und dort Benutzer hinzufüge, stehen im LDAP in der Gruppe keine Einträge mit mailForwardingAddress.
Sobald ich aber bei einem Benutzer die Gruppe hinzufüge, werden dieseAttribute hinzugefügt (für jedes Mitglied der Gruppe.)
Wenn ich über die Gruppenverwaltung Benutzer entferne, verschwinden die mailForwardingAddress-Attribute wieder.

Mit der letzten Version von EGroupware kann ich es leider gerade nicht testen.

Viele Grüße, Axel