s4-dsdb: add auto-normalisation of attributes
[amitay/samba.git] / source4 / dsdb / samdb / ldb_modules / objectclass_attrs.c
1 /*
2    ldb database library
3
4    Copyright (C) Simo Sorce  2006-2008
5    Copyright (C) Andrew Bartlett <abartlet@samba.org> 2005-2009
6    Copyright (C) Stefan Metzmacher 2009
7    Copyright (C) Matthias Dieter Wallnöfer 2010
8
9    This program is free software; you can redistribute it and/or modify
10    it under the terms of the GNU General Public License as published by
11    the Free Software Foundation; either version 3 of the License, or
12    (at your option) any later version.
13
14    This program is distributed in the hope that it will be useful,
15    but WITHOUT ANY WARRANTY; without even the implied warranty of
16    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
17    GNU General Public License for more details.
18
19    You should have received a copy of the GNU Lesser General Public
20    License along with this library; if not, see <http://www.gnu.org/licenses/>.
21 */
22
23 /*
24  *  Name: ldb
25  *
26  *  Component: objectclass attribute checking module
27  *
28  *  Description: this checks the attributes on a directory entry (if they're
29  *    allowed, if the syntax is correct, if mandatory ones are missing,
30  *    denies the deletion of mandatory ones...). The module contains portions
31  *    of the "objectclass" and the "validate_update" LDB module.
32  *
33  *  Author: Matthias Dieter Wallnöfer
34  */
35
36 #include "includes.h"
37 #include "ldb_module.h"
38 #include "dsdb/samdb/samdb.h"
39
40 struct oc_context {
41
42         struct ldb_module *module;
43         struct ldb_request *req;
44         const struct dsdb_schema *schema;
45
46         struct ldb_message *msg;
47
48         struct ldb_reply *search_res;
49         struct ldb_reply *mod_ares;
50 };
51
52 static struct oc_context *oc_init_context(struct ldb_module *module,
53                                           struct ldb_request *req)
54 {
55         struct ldb_context *ldb;
56         struct oc_context *ac;
57
58         ldb = ldb_module_get_ctx(module);
59
60         ac = talloc_zero(req, struct oc_context);
61         if (ac == NULL) {
62                 ldb_oom(ldb);
63                 return NULL;
64         }
65
66         ac->module = module;
67         ac->req = req;
68         ac->schema = dsdb_get_schema(ldb, ac);
69
70         return ac;
71 }
72
73 static int oc_op_callback(struct ldb_request *req, struct ldb_reply *ares);
74
75 /* checks correctness of dSHeuristics attribute
76  * as described in MS-ADTS 7.1.1.2.4.1.2 dSHeuristics */
77 static int oc_validate_dsheuristics(struct ldb_message_element *el)
78 {
79         if (el->num_values > 0) {
80                 if (el->values[0].length > DS_HR_LDAP_BYPASS_UPPER_LIMIT_BOUNDS) {
81                         return LDB_ERR_CONSTRAINT_VIOLATION;
82                 } else if (el->values[0].length >= DS_HR_TENTH_CHAR
83                            && el->values[0].data[DS_HR_TENTH_CHAR-1] != '1') {
84                         return LDB_ERR_CONSTRAINT_VIOLATION;
85                 }
86         }
87
88         return LDB_SUCCESS;
89 }
90
91 /*
92   auto normalise values on input
93  */
94 static int oc_auto_normalise(struct ldb_context *ldb, const struct dsdb_attribute *attr,
95                              struct ldb_message *msg, struct ldb_message_element *el)
96 {
97         int i;
98         bool values_copied = false;
99
100         for (i=0; i<el->num_values; i++) {
101                 struct ldb_val v;
102                 int ret;
103                 ret = attr->ldb_schema_attribute->syntax->canonicalise_fn(ldb, el->values, &el->values[i], &v);
104                 if (ret != LDB_SUCCESS) {
105                         return ret;
106                 }
107                 if (data_blob_cmp(&v, &el->values[i]) == 0) {
108                         /* no need to replace it */
109                         talloc_free(v.data);
110                         continue;
111                 }
112
113                 /* we need to copy the values array on the first change */
114                 if (!values_copied) {
115                         struct ldb_val *v2;
116                         v2 = talloc_array(msg->elements, struct ldb_val, el->num_values);
117                         if (v2 == NULL) {
118                                 return ldb_oom(ldb);
119                         }
120                         memcpy(v2, el->values, sizeof(struct ldb_val) * el->num_values);
121                         el->values = v2;
122                         values_copied = true;
123                 }
124
125                 el->values[i] = v;
126         }
127         return LDB_SUCCESS;
128 }
129
130 static int attr_handler(struct oc_context *ac)
131 {
132         struct ldb_context *ldb;
133         struct ldb_message *msg;
134         struct ldb_request *child_req;
135         const struct dsdb_attribute *attr;
136         unsigned int i;
137         int ret;
138         WERROR werr;
139         struct dsdb_syntax_ctx syntax_ctx;
140
141         ldb = ldb_module_get_ctx(ac->module);
142
143         if (ac->req->operation == LDB_ADD) {
144                 msg = ldb_msg_copy_shallow(ac, ac->req->op.add.message);
145         } else {
146                 msg = ldb_msg_copy_shallow(ac, ac->req->op.mod.message);
147         }
148         if (msg == NULL) {
149                 return ldb_oom(ldb);
150         }
151         ac->msg = msg;
152
153         /* initialize syntax checking context */
154         dsdb_syntax_ctx_init(&syntax_ctx, ldb, ac->schema);
155
156         /* Check if attributes exist in the schema, if the values match,
157          * if they're not operational and fix the names to the match the schema
158          * case */
159         for (i = 0; i < msg->num_elements; i++) {
160                 attr = dsdb_attribute_by_lDAPDisplayName(ac->schema,
161                                                          msg->elements[i].name);
162                 if (attr == NULL) {
163                         if (ldb_request_get_control(ac->req, LDB_CONTROL_RELAX_OID) &&
164                             ac->req->operation != LDB_ADD) {
165                                 /* we allow this for dbcheck to fix
166                                    broken attributes */
167                                 goto no_attribute;
168                         }
169                         ldb_asprintf_errstring(ldb, "objectclass_attrs: attribute '%s' on entry '%s' was not found in the schema!",
170                                                msg->elements[i].name,
171                                                ldb_dn_get_linearized(msg->dn));
172                         return LDB_ERR_NO_SUCH_ATTRIBUTE;
173                 }
174
175                 if ((attr->linkID & 1) == 1 &&
176                     !ldb_request_get_control(ac->req, LDB_CONTROL_RELAX_OID)) {
177                         /* Odd is for the target.  Illegal to modify */
178                         ldb_asprintf_errstring(ldb, 
179                                                "objectclass_attrs: attribute '%s' on entry '%s' must not be modified directly, it is a linked attribute", 
180                                                msg->elements[i].name,
181                                                ldb_dn_get_linearized(msg->dn));
182                         return LDB_ERR_UNWILLING_TO_PERFORM;
183                 }
184                 
185                 if (!(msg->elements[i].flags & LDB_FLAG_INTERNAL_DISABLE_VALIDATION)) {
186                         werr = attr->syntax->validate_ldb(&syntax_ctx, attr,
187                                                           &msg->elements[i]);
188                         if (!W_ERROR_IS_OK(werr) &&
189                             !ldb_request_get_control(ac->req, LDB_CONTROL_RELAX_OID)) {
190                                 ldb_asprintf_errstring(ldb, "objectclass_attrs: attribute '%s' on entry '%s' contains at least one invalid value!",
191                                                        msg->elements[i].name,
192                                                        ldb_dn_get_linearized(msg->dn));
193                                 return LDB_ERR_INVALID_ATTRIBUTE_SYNTAX;
194                         }
195                 }
196
197                 if ((attr->systemFlags & DS_FLAG_ATTR_IS_CONSTRUCTED) != 0) {
198                         ldb_asprintf_errstring(ldb, "objectclass_attrs: attribute '%s' on entry '%s' is constructed!",
199                                                msg->elements[i].name,
200                                                ldb_dn_get_linearized(msg->dn));
201                         if (ac->req->operation == LDB_ADD) {
202                                 return LDB_ERR_UNDEFINED_ATTRIBUTE_TYPE;
203                         } else {
204                                 return LDB_ERR_CONSTRAINT_VIOLATION;
205                         }
206                 }
207
208                 /* "dSHeuristics" syntax check */
209                 if (ldb_attr_cmp(attr->lDAPDisplayName, "dSHeuristics") == 0) {
210                         ret = oc_validate_dsheuristics(&(msg->elements[i]));
211                         if (ret != LDB_SUCCESS) {
212                                 return ret;
213                         }
214                 }
215
216                 /* auto normalise some attribute values */
217                 if (attr->syntax->auto_normalise) {
218                         ret = oc_auto_normalise(ldb, attr, msg, &msg->elements[i]);
219                         if (ret != LDB_SUCCESS) {
220                                 return ret;
221                         }
222                 }
223
224                 /* Substitute the attribute name to match in case */
225                 msg->elements[i].name = attr->lDAPDisplayName;
226         }
227
228 no_attribute:
229         if (ac->req->operation == LDB_ADD) {
230                 ret = ldb_build_add_req(&child_req, ldb, ac,
231                                         msg, ac->req->controls,
232                                         ac, oc_op_callback, ac->req);
233                 LDB_REQ_SET_LOCATION(child_req);
234         } else {
235                 ret = ldb_build_mod_req(&child_req, ldb, ac,
236                                         msg, ac->req->controls,
237                                         ac, oc_op_callback, ac->req);
238                 LDB_REQ_SET_LOCATION(child_req);
239         }
240         if (ret != LDB_SUCCESS) {
241                 return ret;
242         }
243
244         return ldb_next_request(ac->module, child_req);
245 }
246
247 /*
248   these are attributes which are left over from old ways of doing
249   things in ldb, and are harmless
250  */
251 static const char *harmless_attrs[] = { "parentGUID", NULL };
252
253 static int attr_handler2(struct oc_context *ac)
254 {
255         struct ldb_context *ldb;
256         struct ldb_message_element *oc_element;
257         struct ldb_message *msg;
258         const char **must_contain, **may_contain, **found_must_contain;
259         /* There exists a hardcoded delete-protected attributes list in AD */
260         const char *del_prot_attributes[] = { "nTSecurityDescriptor",
261                 "objectSid", "sAMAccountType", "sAMAccountName", "groupType",
262                 "primaryGroupID", "userAccountControl", "accountExpires",
263                 "badPasswordTime", "badPwdCount", "codePage", "countryCode",
264                 "lastLogoff", "lastLogon", "logonCount", "pwdLastSet", NULL },
265                 **l;
266         const struct dsdb_attribute *attr;
267         unsigned int i;
268         bool found;
269
270         ldb = ldb_module_get_ctx(ac->module);
271
272         if (ac->search_res == NULL) {
273                 return ldb_operr(ldb);
274         }
275
276         /* We rely here on the preceeding "objectclass" LDB module which did
277          * already fix up the objectclass list (inheritance, order...). */
278         oc_element = ldb_msg_find_element(ac->search_res->message,
279                                           "objectClass");
280         if (oc_element == NULL) {
281                 return ldb_operr(ldb);
282         }
283
284         /* LSA-specific object classes are not allowed to be created over LDAP,
285          * so we need to tell if this connection is internal (trusted) or not
286          * (untrusted).
287          *
288          * Hongwei Sun from Microsoft explains:
289          * The constraint in 3.1.1.5.2.2 MS-ADTS means that LSA objects cannot
290          * be added or modified through the LDAP interface, instead they can
291          * only be handled through LSA Policy API.  This is also explained in
292          * 7.1.6.9.7 MS-ADTS as follows:
293          * "Despite being replicated normally between peer DCs in a domain,
294          * the process of creating or manipulating TDOs is specifically
295          * restricted to the LSA Policy APIs, as detailed in [MS-LSAD] section
296          * 3.1.1.5. Unlike other objects in the DS, TDOs may not be created or
297          *  manipulated by client machines over the LDAPv3 transport."
298          */
299         if (ldb_req_is_untrusted(ac->req)) {
300                 for (i = 0; i < oc_element->num_values; i++) {
301                         if ((strcmp((char *)oc_element->values[i].data,
302                                     "secret") == 0) ||
303                             (strcmp((char *)oc_element->values[i].data,
304                                     "trustedDomain") == 0)) {
305                                 ldb_asprintf_errstring(ldb, "objectclass_attrs: LSA objectclasses (entry '%s') cannot be created or changed over LDAP!",
306                                                        ldb_dn_get_linearized(ac->search_res->message->dn));
307                                 return LDB_ERR_UNWILLING_TO_PERFORM;
308                         }
309                 }
310         }
311
312         must_contain = dsdb_full_attribute_list(ac, ac->schema, oc_element,
313                                                 DSDB_SCHEMA_ALL_MUST);
314         may_contain =  dsdb_full_attribute_list(ac, ac->schema, oc_element,
315                                                 DSDB_SCHEMA_ALL_MAY);
316         found_must_contain = const_str_list(str_list_copy(ac, must_contain));
317         if ((must_contain == NULL) || (may_contain == NULL)
318             || (found_must_contain == NULL)) {
319                 return ldb_operr(ldb);
320         }
321
322         /* Check the delete-protected attributes list */
323         msg = ac->search_res->message;
324         for (l = del_prot_attributes; *l != NULL; l++) {
325                 struct ldb_message_element *el;
326
327                 el = ldb_msg_find_element(ac->msg, *l);
328                 if (el == NULL) {
329                         /*
330                          * It was not specified in the add or modify,
331                          * so it doesn't need to be in the stored record
332                          */
333                         continue;
334                 }
335
336                 found = str_list_check_ci(must_contain, *l);
337                 if (!found) {
338                         found = str_list_check_ci(may_contain, *l);
339                 }
340                 if (found && (ldb_msg_find_element(msg, *l) == NULL)) {
341                         ldb_asprintf_errstring(ldb, "objectclass_attrs: delete protected attribute '%s' on entry '%s' missing!",
342                                                *l,
343                                                ldb_dn_get_linearized(msg->dn));
344                         return LDB_ERR_UNWILLING_TO_PERFORM;
345                 }
346         }
347
348         /* Check if all specified attributes are valid in the given
349          * objectclasses and if they meet additional schema restrictions. */
350         for (i = 0; i < msg->num_elements; i++) {
351                 attr = dsdb_attribute_by_lDAPDisplayName(ac->schema,
352                                                          msg->elements[i].name);
353                 if (attr == NULL) {
354                         if (ldb_request_get_control(ac->req, LDB_CONTROL_RELAX_OID)) {
355                                 /* allow this to make it possible for dbcheck
356                                    to remove bad attributes */
357                                 continue;
358                         }
359                         return ldb_operr(ldb);
360                 }
361
362                 /* We can use "str_list_check" with "strcmp" here since the
363                  * attribute information from the schema are always equal
364                  * up-down-cased. */
365                 found = str_list_check(must_contain, attr->lDAPDisplayName);
366                 if (found) {
367                         str_list_remove(found_must_contain, attr->lDAPDisplayName);
368                 } else {
369                         found = str_list_check(may_contain, attr->lDAPDisplayName);
370                 }
371                 if (!found) {
372                         found = str_list_check(harmless_attrs, attr->lDAPDisplayName);
373                 }
374                 if (!found) {
375                         ldb_asprintf_errstring(ldb, "objectclass_attrs: attribute '%s' on entry '%s' does not exist in the specified objectclasses!",
376                                                msg->elements[i].name,
377                                                ldb_dn_get_linearized(msg->dn));
378                         return LDB_ERR_OBJECT_CLASS_VIOLATION;
379                 }
380         }
381
382         if (found_must_contain[0] != NULL &&
383             ldb_msg_check_string_attribute(msg, "isDeleted", "TRUE") == 0) {
384                 ldb_asprintf_errstring(ldb, "objectclass_attrs: at least one mandatory attribute ('%s') on entry '%s' wasn't specified!",
385                                        found_must_contain[0],
386                                        ldb_dn_get_linearized(msg->dn));
387                 return LDB_ERR_OBJECT_CLASS_VIOLATION;
388         }
389
390         return ldb_module_done(ac->req, ac->mod_ares->controls,
391                                ac->mod_ares->response, LDB_SUCCESS);
392 }
393
394 static int get_search_callback(struct ldb_request *req, struct ldb_reply *ares)
395 {
396         struct ldb_context *ldb;
397         struct oc_context *ac;
398         int ret;
399
400         ac = talloc_get_type(req->context, struct oc_context);
401         ldb = ldb_module_get_ctx(ac->module);
402
403         if (!ares) {
404                 return ldb_module_done(ac->req, NULL, NULL,
405                                        LDB_ERR_OPERATIONS_ERROR);
406         }
407         if (ares->error != LDB_SUCCESS) {
408                 return ldb_module_done(ac->req, ares->controls,
409                                        ares->response, ares->error);
410         }
411
412         ldb_reset_err_string(ldb);
413
414         switch (ares->type) {
415         case LDB_REPLY_ENTRY:
416                 if (ac->search_res != NULL) {
417                         ldb_set_errstring(ldb, "Too many results");
418                         talloc_free(ares);
419                         return ldb_module_done(ac->req, NULL, NULL,
420                                                LDB_ERR_OPERATIONS_ERROR);
421                 }
422
423                 ac->search_res = talloc_steal(ac, ares);
424                 break;
425
426         case LDB_REPLY_REFERRAL:
427                 /* ignore */
428                 talloc_free(ares);
429                 break;
430
431         case LDB_REPLY_DONE:
432                 talloc_free(ares);
433                 ret = attr_handler2(ac);
434                 if (ret != LDB_SUCCESS) {
435                         return ldb_module_done(ac->req, NULL, NULL, ret);
436                 }
437                 break;
438         }
439
440         return LDB_SUCCESS;
441 }
442
443 static int oc_op_callback(struct ldb_request *req, struct ldb_reply *ares)
444 {
445         struct oc_context *ac;
446         struct ldb_context *ldb;
447         struct ldb_request *search_req;
448         struct ldb_dn *base_dn;
449         int ret;
450
451         ac = talloc_get_type(req->context, struct oc_context);
452         ldb = ldb_module_get_ctx(ac->module);
453
454         if (!ares) {
455                 return ldb_module_done(ac->req, NULL, NULL,
456                                        LDB_ERR_OPERATIONS_ERROR);
457         }
458
459         if (ares->type == LDB_REPLY_REFERRAL) {
460                 return ldb_module_send_referral(ac->req, ares->referral);
461         }
462
463         if (ares->error != LDB_SUCCESS) {
464                 return ldb_module_done(ac->req, ares->controls, ares->response,
465                                        ares->error);
466         }
467
468         if (ares->type != LDB_REPLY_DONE) {
469                 talloc_free(ares);
470                 return ldb_module_done(ac->req, NULL, NULL,
471                                        LDB_ERR_OPERATIONS_ERROR);
472         }
473
474         ac->search_res = NULL;
475         ac->mod_ares = talloc_steal(ac, ares);
476
477         /* This looks up all attributes of our just added/modified entry */
478         base_dn = ac->req->operation == LDB_ADD ? ac->req->op.add.message->dn
479                 : ac->req->op.mod.message->dn;
480         ret = ldb_build_search_req(&search_req, ldb, ac, base_dn,
481                                    LDB_SCOPE_BASE, "(objectClass=*)",
482                                    NULL, NULL, ac,
483                                    get_search_callback, ac->req);
484         LDB_REQ_SET_LOCATION(search_req);
485         if (ret != LDB_SUCCESS) {
486                 return ldb_module_done(ac->req, NULL, NULL, ret);
487         }
488
489         ret = ldb_request_add_control(search_req, LDB_CONTROL_SHOW_RECYCLED_OID,
490                                       true, NULL);
491         if (ret != LDB_SUCCESS) {
492                 return ldb_module_done(ac->req, NULL, NULL, ret);
493         }
494
495         ret = ldb_next_request(ac->module, search_req);
496         if (ret != LDB_SUCCESS) {
497                 return ldb_module_done(ac->req, NULL, NULL, ret);
498         }
499
500         /* "ldb_module_done" isn't called here since we need to do additional
501          * checks. It is called at the end of "attr_handler2". */
502         return LDB_SUCCESS;
503 }
504
505 static int objectclass_attrs_add(struct ldb_module *module,
506                                  struct ldb_request *req)
507 {
508         struct ldb_context *ldb;
509         struct oc_context *ac;
510
511         ldb = ldb_module_get_ctx(module);
512
513         ldb_debug(ldb, LDB_DEBUG_TRACE, "objectclass_attrs_add\n");
514
515         /* do not manipulate our control entries */
516         if (ldb_dn_is_special(req->op.add.message->dn)) {
517                 return ldb_next_request(module, req);
518         }
519
520         ac = oc_init_context(module, req);
521         if (ac == NULL) {
522                 return ldb_operr(ldb);
523         }
524
525         /* without schema, there isn't much to do here */
526         if (ac->schema == NULL) {
527                 talloc_free(ac);
528                 return ldb_next_request(module, req);
529         }
530
531         return attr_handler(ac);
532 }
533
534 static int objectclass_attrs_modify(struct ldb_module *module,
535                                     struct ldb_request *req)
536 {
537         struct ldb_context *ldb;
538         struct oc_context *ac;
539
540         ldb = ldb_module_get_ctx(module);
541
542         ldb_debug(ldb, LDB_DEBUG_TRACE, "objectclass_attrs_modify\n");
543
544         /* do not manipulate our control entries */
545         if (ldb_dn_is_special(req->op.mod.message->dn)) {
546                 return ldb_next_request(module, req);
547         }
548
549         ac = oc_init_context(module, req);
550         if (ac == NULL) {
551                 return ldb_operr(ldb);
552         }
553
554         /* without schema, there isn't much to do here */
555         if (ac->schema == NULL) {
556                 talloc_free(ac);
557                 return ldb_next_request(module, req);
558         }
559
560         return attr_handler(ac);
561 }
562
563 static const struct ldb_module_ops ldb_objectclass_attrs_module_ops = {
564         .name              = "objectclass_attrs",
565         .add               = objectclass_attrs_add,
566         .modify            = objectclass_attrs_modify
567 };
568
569 int ldb_objectclass_attrs_module_init(const char *version)
570 {
571         LDB_MODULE_CHECK_VERSION(version);
572         return ldb_register_module(&ldb_objectclass_attrs_module_ops);
573 }