s3-smbd: Avoid creating a UID ACL entry for SIDs that are mapped as IDMAP_BOTH

The GID ACL entry is what will be mapped in most cases, and so is sufficient.

Andrew Bartlett

s3-smbd: Consider a group with the same SID as sufficient duplication

This code is to ensure that the user does not loose rights when their file
ownership is taken away.  If the owner (an IDMAP_BOTH SID) appears as a group
then a duplicate user is not required.

s3-smbd: Create a shortcut for building the token of a user by SID for posix_acls

When a user owns a file, but does not have specific permissions on that file, we need to
make up the user permissions.  This change ensures that the first thing that we do
is to look up the SID, and confirm it is a user.  Then, we avoid the getpwnam()
and directly create the token via the SID.

Andrew Bartlett

s3-nfs4acls: Remove lookup_sid and sidmap from NFSv4 ACL mapping and check gid first

By checking just the IDMAP, and by removing the sidmap and lookup_sid calls, we support
IDMAP_BOTH.  This is because by checking for a mapping to a GID first, we can rely on
the fact that IDMAP_BOTH will resolve to a GID.

If the sidmap idea is valued - it allows multiple SIDs to map to a single unix ID, this should
be done in the IDMAP layer.

Andrew Bartlett

s3-smbd: Handle IDMAP_BOTH by mapping to both a group ACL entry and file ownership

This will allow groups, such as domain administrators, to own files
while correctly handling the rest of the ACL permissions.

Andrew Bartlett

s3-posix_acls: Add helper function add_current_ace_to_acl for IDMAP_BOTH support

We need to split things up into a new helper function
add_current_ace_to_acl() in order for there to be more posix ACL
elements than NT ACL elements (so a group SID can own a file, but also
get the group permissions that will be honoured)

Andrew Bartlett

s3-smbd: Also consider a matching SID when making up owning user permissions

This covers a case where an IDMAP_BOTH mapping creates group permissions, but must own
the file.

Andrew Bartlett

s3-smbd: Do not merge UID ACE values with GID ACE values for posix ACL

This might happen when we get a SID mapped to IDMAP_BOTH.

Andrew Bartlett

s3:auth/server_info: the primary rid should be in the groups rid array (bug #8798)

Signed-off-by: Stefan Metzmacher <metze@samba.org>
Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Wed May  9 19:36:01 CEST 2012 on sn-devel-104

allow to use system iniparser library.

Guenther

Autobuild-User: Günther Deschner <gd@samba.org>
Autobuild-Date: Wed May  9 17:38:33 CEST 2012 on sn-devel-104

waf: remove pointless WINBIND_KRB5_LOCATOR env.

Guenther

Autobuild-User: Günther Deschner <gd@samba.org>
Autobuild-Date: Wed May  9 15:16:34 CEST 2012 on sn-devel-104

s3-smbd: Fix the creation of duplicate SMB_ACL_GROUP entries

The issue was a simple copy and paste bug, which casued a duplicate SMB_ACL_GROUP
to be added when we already had one.

Andrew Bartlett

Signed-off-by: Jeremy Allison <jra@samba.org>
Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Wed May  9 13:17:29 CEST 2012 on sn-devel-104

s3-spoolss: Set DWORD values correctly.

Autobuild-User: Andreas Schneider <asn@cryptomilk.org>
Autobuild-Date: Wed May  9 11:13:00 CEST 2012 on sn-devel-104

s3-lib/sysacls: Do not include an embedded \0 between ACL entries in sys_acl_to_text()

This makes it possible to print the entire string again.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Wed May  9 06:07:06 CEST 2012 on sn-devel-104

s3-lib: Add const to sys_acl_to_text

s3-vfs: Show the invalid ACL when we say it is invalid for set

s3-lib: Fix indentation in sys_acl_to_text()

Revert "selftest: mark ^samba4.raw.context.session1 as flapping, the test was wrong"

This reverts commit 794a9da38fbd88eb3d358d453cc5d21998604caa.

The test is fixed now.

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Wed May  9 02:53:24 CEST 2012 on sn-devel-104

s4:smb_server/smb: only create a new session with vuid == 0

metze

s4:torture/raw/context: test a session setup with a given invalid vuid

On a session setup with EXTENDED_SECURITY we'll get ERRSRV:ERRbaduid,
while a session setup without EXTENDED_SECURITY ignores the given vuid.

Before this test was doing a reauth of a given vuid, which works for newer
Windows versions, but Windows 2000 gives INVALID_PARAMETER.

metze

selftest: mark ^samba4.raw.context.session1 as flapping, the test was wrong

metze

s3:libsmb: remove unused var in smb2cli_set_info_done

s3:winbindd:autorid check that transaction start did work

this fixes Coverity #700172 CHECKED_RETURN

Autobuild-User: Christian Ambach <ambi@samba.org>
Autobuild-Date: Wed May  9 00:27:08 CEST 2012 on sn-devel-104

s3:smbd fix some compiler warnings

s3:vfs/gpfs: Have inherited deny ACE's show up in ACLs

Don't use the mode for the get_acl call that surpresses
inherited deny ACE's. This is now possible since
the inherited ACE flag exists now in GPFS and Samba.

s4:libcli:raw: fix a comment typo in smb_setfileinfo()

Autobuild-User: Michael Adam <obnox@samba.org>
Autobuild-Date: Tue May  8 20:45:16 CEST 2012 on sn-devel-104

s4:torture: add a new smb2.session.reauth5 test: rename after reauth to anon - fails

s4:torture: add a new smb2.session.reauth4 test: setting security descriptor after reauth to anon - works

s3-docs: Fix bug #7930.

Add hint that setting "profile acls = yes" on normal shares can cause trouble.

Karolin

Autobuild-User: Karolin Seeger <kseeger@samba.org>
Autobuild-Date: Tue May  8 18:47:59 CEST 2012 on sn-devel-104

s3-po: Fix typo in comment.

Karolin

s3-net: Fix typo in comment.

Karolin

s4 dns: unify error handling when bailing out

Autobuild-User: Kai Blin <kai@samba.org>
Autobuild-Date: Tue May  8 15:48:25 CEST 2012 on sn-devel-104

s4 dns: Add TSIG and TKEY records to idl

s3-docs: Fix several typos.

Part of a fix for bug #7938. Based on a patch provided by John Bradshaw
<john@johnbradshaw.org>.

Karolin

Autobuild-User: Karolin Seeger <kseeger@samba.org>
Autobuild-Date: Tue May  8 13:56:32 CEST 2012 on sn-devel-104

s3-docs: overrided -> overridden

Fix typo. Part of a fix for bug #7938. Based on a patch provided by John
Bradshaw <john@johnbradshaw.org>.

s3:vfs/shadow_copy2 fix some compiler warnings

about unused variables

Autobuild-User: Christian Ambach <ambi@samba.org>
Autobuild-Date: Tue May  8 11:15:07 CEST 2012 on sn-devel-104

s3:vfs/shadow_copy2 make descending sort order the default

otherwise Explorer won't work correctly when trying to restore a folder

docs:autorid document ignore builtin parameter

s3:winbindd/autorid add ignore builtin parameter

BUILTIN should be handled by passdb, however if passdb does not know
about a SID, autorid creates a range for BUILTIN and does deterministic mapping

make it possible to turn off this behavior

docs:autorid document read-only parameter

s3:winbindd/autorid add support for read-only mode

make it possible to set read-only = yes for the backend
so users can replicate an autorid.tdb to another server
to use the same mappings without risking that updates
are done on both sides

docs:autorid document how well-known SIDs will be mapped

they consume space of the allocation pool and a list of most known well-known SIDs is
preallocated to create a deterministic mapping

s3:winbindd/autorid preallocate well-known SIDs

preallocate the list of well-known SIDs that Win2008R2 reports
to be groups and that are on the list in KB243330
This will allow for deterministic mapping of these SIDs, even if they
are stored in the allocation pool as this is the first thing that autorid
will allocate from the pool during module initialization

krb5samba: Add smb_krb5_make_pac_checksum.

Signed-off-by: Simo Sorce <idra@samba.org>
Autobuild-User: Simo Sorce <idra@samba.org>
Autobuild-Date: Tue May  8 08:30:52 CEST 2012 on sn-devel-104

s4-auth: Use smb_krb5_make_pac_checksum.

Signed-off-by: Simo Sorce <idra@samba.org>

krb5samba: Add krb5_free_checksum_contents wrapper

lib/util: Map 0x7fffffffffffffffLL as 0x7fffffffffffffffLL in time conversion

TIME_T_MAX is not actually INT64_MAX at the moment, so check both
values and set to the magic end-of-time value.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Tue May  8 06:41:43 CEST 2012 on sn-devel-104

s4-provision Ensure we have posix ACLs before we permit a s3fs-based Samba4 to be configured

s3-python: Add python bindings for posix ACL layer

This will allow us to check that posix ACLs work in the s4 provision, and avoid
--use-s3fs if they do not.

Andrew Bartlett

s4:torture/raw/context: add subtests as torture testcases

TODO: add test_session with 'use spnego = false'.
      We need a way to do set an option just for one test case.

Note: the 'use spnego = false' was ignored before as it's
      only used on the first session setup on a connection.

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Tue May  8 04:50:39 CEST 2012 on sn-devel-104

s4:torture/raw/context: INVALID_PARAMETER vs. LOGON_FAILURE...

If the try a session setup without EXTENDED_SECURITY after
one with EXTENDED_SECURITY Windows 2008 R2 returns INVALID_PARAMETER,
while Windows 2000 sp4 returns LOGON_FAILURE...

metze

s4:torture/raw: make torture_raw_context a test suite

metze

s4:torture/raw/context: make use of torture_* macros and avoid 'printf'

metze

s4:torture/raw/context: pass tctx to test_pid_exit_only_sees_open()

metze

selftest: samba4 doesn't support reauth

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Tue May  8 02:43:49 CEST 2012 on sn-devel-104

s4:torture/raw/session: make sure we got a reauth of the existing session

metze

selftest: mark ^samba4.raw.session.reauth as flapping

Because the test is wrong...

metze

talloc: Update doxygen config.

Autobuild-User: Andreas Schneider <asn@cryptomilk.org>
Autobuild-Date: Mon May  7 21:13:15 CEST 2012 on sn-devel-104

doc: Remove latex to doxygen conversion leftovers in talloc.

Signed-off-by: Andreas Schneider <asn@samba.org>

doc: Fixes for the talloc best practices tutorial.

doc: Fixes for the talloc debugging tutorial.

doc: Fixes for the talloc pool tutorial.

doc: Fixes for the talloc destructor tutorial.

doc: Fixes for the talloc dynamic type system tutorial.

doc: Fixes for the talloc stealing tutorial.

doc: Fixes for the talloc context tutorial.

doc: Add talloc tutorial.

Signed-off-by: Andreas Schneider <asn@samba.org>

heimdal: Cope with newer Heimdal versions accepting a keyset argument to
hdb_enctype2key.

Autobuild-User: Jelmer Vernooij <jelmer@samba.org>
Autobuild-Date: Mon May  7 18:33:10 CEST 2012 on sn-devel-104

s3:registry: let reg_values_need_update() return true if the backend does not implement the method

Otherwise the value cache might become outdated.

Autobuild-User: Michael Adam <obnox@samba.org>
Autobuild-Date: Mon May  7 16:11:05 CEST 2012 on sn-devel-104

s3:registry: let reg_subkeys_need_update() return true if the backend does not implement the method

Otherwise the subkey cache might become outdated.

s4-dns: Build BIND DLZ modules with correct private library

This fixes rpath for samdb-common private library after make install.

Autobuild-User: Amitay Isaacs <amitay@samba.org>
Autobuild-Date: Mon May  7 07:40:29 CEST 2012 on sn-devel-104

lib/param: add support for "SMB3_00"

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Sun May  6 16:38:00 CEST 2012 on sn-devel-104

s3:smb2_negprot: add support for PROTOCOL_SMB3_00

metze

s4:libcli/smb2: use PROTOCOL_LATEST

metze

s3:torture/test_smb2: add support for PROTOCOL_SMB3_00

metze

libcli/smb/smbXcli: add support for PROTOCOL_SMB3_00

metze

libcli/smb: add #define PROTOCOL_LATEST PROTOCOL_SMB3_00

metze

libcli/smb: add PROTOCOL_SMB3_00

metze

libcli/smb: add SMB3_DIALECT_REVISION_300

metze

s3:torture: do some query_info and set_info calls in SMB2-SESSION-REAUTH

metze

s3:libsmb: add smb2cli_set_info*

metze

s3:libsmb: add smb2cli_query_info*

metze

s3:libsmb: use 'state' instead of 'talloc_tos()' in smb2cli_tcon*

metze

s3:libsmb: use 'state' instead of 'talloc_tos()' in smb2cli_ioctl*

metze

s3:libsmb: use 'state' instead of 'talloc_tos()' in smb2cli_create*

metze

s3:libsmb: remove unused reference to talloc_tos()

metze

s3:idmap_cache: change DEBUG message to level 10

metze

s4-s3-upgrade: Max/min password age policy is in seconds, not days

This cases upgraded domains to have a too-long password expiry, which in extreme
cases can cause the KDC to misfunction.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Sun May  6 14:49:39 CEST 2012 on sn-devel-104

s4-schema: Validate more class attribute when adding a new class in the schema

Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Sun May  6 04:17:56 CEST 2012 on sn-devel-104

s4: use intermediate var, increase lisibility

olschema2ldif: be more strict where checking for open/closed braces

s3:registry: implement values_need_update and subkeys_need_update in the smbconf backend

It simply calls to the regdb functions.
This fixes a caching issue uncovered by recent changes.

Autobuild-User: Michael Adam <obnox@samba.org>
Autobuild-Date: Sat May  5 04:10:43 CEST 2012 on sn-devel-104

s3:registry: return error when Key does not exist in regdb_fetch_values_internal()

s3:smbd: comment the lp_load call in reload_services()

s3: Use hex_encode_buf

Autobuild-User: Volker Lendecke <vl@samba.org>
Autobuild-Date: Fri May  4 20:32:37 CEST 2012 on sn-devel-104

s3: Use hex_encode_buf

s3: Remove an unused extern declaration

s3: Remove an unused parameter from check_parent_access()

s3: In mkdir_internal, don't retrieve parent_dir from check_parent_access

We have already created that ourselves a few lines above

waf: Fix com_err detection with MIT krb5.

Signed-off-by: Simo Sorce <idra@samba.org>
Autobuild-User: Simo Sorce <idra@samba.org>
Autobuild-Date: Fri May  4 18:43:05 CEST 2012 on sn-devel-104