s4-samldb: also set a password on the krbtgt_NNNN account

when we setup the krbtgt_NNNN account using the DCPROMO_OID control,
we also need to set an initial password for this account

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-devel: added new options to getncchanges script

added --pas, --dest-dsa and --replica-flags options

Pair-Programmed-With: Anatoliy Atanasov <anatoliy.atanasov@postpath.com>

s4-drs: implement PAS checks and access checks for getncchanges

This implements partial attribute set checking on getncchanges. If the
client sends a partial_attribute_set then we only return the specified
attributes.

This also implements access checking on the NC root for the access
right GUIDs for requests with and without reveal secrets

Pair-Programmed-With: Anatoliy Atanasov <anatoliy.atanasov@postpath.com>

s4-drs: added drs_security_access_check_nc_root()

this checks securiity on the NC root of the specified naming context

util: added BINARY_ARRAY_SEARCH_V()

this is used to search an array of values

s4-sam: added DOMAIN_RID_ENTERPRISE_READONLY_DCS for RODCs in the PAC

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

libds: added more UF_ -> ACB_ flags mappings

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>
Pair-Programmed-With: Stefan Metzmacher <metze@samba.org>

midltests: add midltests-pipe-sync-ndr32-downgrade-02.idl

metze

midltests: support for fragmented RPC traffic

metze

midltests: print out the alloc_hint for requests and responses

metze

midltests: improve NDR64 downgrade

metze

midltests: revert to a simple default midltests.idl

metze

s3-waf: add basic make test infrastructure, not able to test yet.

Guenther

s3-waf: clean up socket-wrapper and nss-wrapper a little.

Guenther

s3-waf: add vlp binary.

Guenther

s4-spnupdate: when we are a RODC we need to use the WriteSPN DRS call

we can't do SPN updates via sam writes and replication, as the sam is
read-only

s4-drsutils: expose DsBind() call in drs_utils.py

this will be used by samba_spnupdate

s4-kerberos: use TZ=GMT when we are invoking krb5 code in helpers

Our helper scripts can fail on Fedora with the PDT timezone (Western
USA). This is the same issue we found with Heimdal earlier today, the
24 second difference between GMT and UTC, but this time in MIT
Kerberos as linked into bind9.

By forcing TZ=GMT in these scripts we avoid the problem

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-rodc: RODC should not accept requests for role transfer

A RODC cannot assume a role, and unwillingToPerform must be
returned if such request is sent via LDAP

s4-provision: simplify our generated krb5.conf

we don't want to force the KDC to be ourselves, we should
be using DNS to find a live KDC. Also remove some other options and
allow the krb5 lib to use defaults.

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-kdc: RODC DCs should be able to produce forwardable tickets

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

heimdal: fixed timegm UTC/GMT bug

This was a wonderful bug!

On some Fedora systems, but not on Ubuntu, there is a difference
between UTC and GMT. Heimdal replaced timegm() with _der_timegm()
which did not account for that difference (which is 24 seconds at the
moment). This led to a mutual authentication failure.

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-sam: fixed termination of krbtgt_attrs (comma and NULL)

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

ldb-dn: don't crash on NULL in ldb_binary_encode_string()

Thanks to Nadya for finding this one!

s4-kdc Ensure that an RODC may act as a server (needed to fill
the krbtgt role).

Andrew Bartlett

heimdal Use a seperate krb5_auth_context for the delegated credentials

If we re-use this context, we overwrite the timestamp while talking
to the KDC and fail the mutual authentiation with the target server.

Andrew Bartlett

midltests/todo: add some random idl files I had tested month ago

metze

midltests: add midltests-pipe-sync-ndr32-downgrade-01.idl example

metze

midltests: add some usefull defines to midltests.idl

metze

midltests: make it possible to allow downgrades to NDR32

metze

midltests: add a midltests_tcp.exe tool

This uses a man in the middle approach in order to dump the
request and response pdus.

It also tests NDR32 and NDR64.

metze

midltests: move the current implementation to midltests_simple.exe

metze

testprogs/win32: add vs2010-metze.cmd

metze

s3-printing: skip metadata entry when traversing printerlist.

We were creating a new printer (with a very broken name) out of the
lasttimestamp entry all the time.

Simo, please check.

Guenther

pidl: add support for pointers in typedefs

metze

pidl:NDR/Parser: remove unused code for array element index

metze

pidl:NDR/Parser: simplify logic in ParseMemCtxPullFlags()

metze

pidl:NDR/Client: make the generated code look a bit nicer

metze

librpc/ndr: remove 'async' from ndr_interface_call

metze

pidl: remove unused async property handling

metze

pidl/Python: use has_property($d, "noopnum") helper function

metze

pidl:NDR/Client.pm: remove unreached code

metze

pidl/Python: remove todo handling from PythonFunction(), it's done by the caller

metze

pidl/Typelist: let typeIs() do TYPEDEF dereference in the HASH case

metze

s3-waf: add in a little hack to deal with the ECHO rpc module for non-developer builds.

This will be removed once we have the rpc modules subsystem in place.

Guenther

autobuild: use git notes for autobuild messages

This avoids changing the commit ID when we add a note that the
autobuild has passed

thanks to Jelmer for this suggestion!

selftest: enable FAIL_IMMEDIATELY in autobuild make test

this should reduce the time we wait for previous failing builds.

Right now this will only work for s4, as we need a makefile change for
s3 support

s4-drs: added support for DRSUAPI_EXOP_REPL_OBJ

this extended getncchanges operation replicates a single object

ldb-tdb: ignore failure to register control on rootdse

this is expected for non-sam LDBs

s4-drs: use drs_ObjectIdentifier_*() calls in getncchanges

this allows for replication by GUID or SID

s4-drs: moved the drs_ObjectIdentifier handling to dsdb_dn.c

this will be used outside of the drs server.

This also fixes the handling of the ndr_size elements of the
drs_ObjectIdentifier

waf: we don't need the preprocessor recursion limit any more

thanks to ita for this

s4-drs: Added check for drs-manage-topology to updateRefs.

s4-drs: Added drs_security_access_check function

It takes a security token, an ldb_context, and the desired CAR and checks
if the principal has this CAR granted

s4-dsdb: adapted check_access_on_dn for use in drs.

heimdal Fix DNS name qualification to not mangle IP addresses

If the host running this code used IPv6 forms for IPv4 addreses
then the check for '.' would not be sufficient to determine that this
isn't a name we should mangle.  Instead, check if it can be parsed
as a numeric address first, and only then mangle.

Andrew Bartlett

s4-kdc Handle the case where we may be given a ticket from an RODC in db layer

This includes rewriting the PAC if the original krbtgt isn't to be
trusted, and reading different entries from the DB for the krbtgt
depending on the krbtgt number.

Andrew Bartlett

heimdal Add an error code for use in the RODC

In this case, the whole request packet should be forwarded to
a real KDC, with full secrets, as we don't have the password.

This could also be used to implement 'play dead when the LDAP
server is down'.

Andrew Bartlett

heimdal Add support for extracting a particular KVNO from the database

This should allow master key rollover.

(but the real reason is to allow multiple krbtgt accounts, as used by
Active Directory to implement RODC support)

Andrew Bartlett

s4-kdc Add common setup, handle RODC setup case

This means we just set up the system_session etc in one place
and don't diverge between the MIT and Heimdal plugins.

We also now determine if we are an RODC and store some details
that we will need later.

Andrew Bartlett

s4-dsdb Add ldb_reset_err_string() when we set error codes.

If we don't we could show an old, incrorrect error

s4-dsdb Make samdb_reference_dn() use dsdb_search() and DSDB_SEARCH_ONE_ONLY

This simplifies the function.  While doing so, also change the error
string setting to set a really clear error string for the failure to find
and failure to parse cases.

Andrew Bartlett

s4-kdc Add function to determine if a hdb entry is a RODC

This is important, as we must ignore the PAC from an RODC.

Andrew Bartlett

s4-kdc Use msDS-SecondaryKrbTgtNumber to fill in the full KVNO

Andrew Bartlett

s4-dsdb Fix segfault in error case in rootdse module

Make upgrade procedure more explicit.

Add in a compile step.
Change the tar command to include the recommended dirs.

s3-waf: add AUTH_SCRIPT module to AUTH subsystem (which is build as shared
module by default).

Guenther

s3-waf: add vfs_linux_xfs_sgid to the list of default shared modules.

Guenther

s3: Attempt to fix bug 7518

If select returns -1, we can't rely on the fd sets. The current code might loop
endlessly because when putting an invalid fd (the closed socket?) on the read
set, a select implementation might choose not to touch it but directly return
with EINVAL. Thus run_events will see the socket readable, which leads to a
"return true", and thus a NT_STATUS_RETRY -> same game again.

We should never get into this situation, but to me the logfiles given in bug
7518 do not reveal enough information to understand how this can happen.

s3: Increase the debuglevel for connection termination msgs

s3-waf: fix dependencies in most of our module subsystems.

Guenther

s3-waf: add pam_smbpass.

Guenther

s3-auth_util: make sure the system server info actually contains S-1-5-18.

Without this, all security descriptor checks for the winreg spoolss backend fail
and make our spoolss system in its current shape basically unusable.

Andreas, please check.

Guenther

s3-printing: remove unused old structs.

Guenther

ldb: Fix path to alternative buildtools.

samba4: Don't update Makefile/configure from autogen.sh.

ldb/tevent: Fix detection of waf paths.

tevent: Remove make targets that are not relevant for tevent.

tevent: Don't update Makefile/configure files.

ldb: Update autogen-waf.sh to no longer overwrite existing files.

ldb: Remove samba-specific targets from Makefile.

ldb: Bump version because of addition of ldb_req_location.

format-subunit: Display number of failed tests even if there are no
failed testsuites.

selftest: Abort early on SIGPIPE.

Add dedicated exception for immediate failure in filter-subunit, don't raise it on known exceptions.

s4-selftest: added a --fail-immediately option to s4 test

this can be used to force an immediate test failure on the first
failed test case. You can also use:

  make test FAIL_IMMEDIATELY=1

filter-subunit: added a --fail-immediately option

s4-provision: fixed the authority response for our SOA record

some clients rely on this being the hostname, not the domain

Autobuild-User: Andrew Tridgell <tridge@samba.org>
Autobuild-Date: Tue Sep 28 06:39:19 UTC 2010 on sn-devel-104

s4-dns: implemented RODC DNS update in dns update task

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-netlogon: added RODC DNS update call fwded to dnsupdate task

when we get a netlogon RODC DNS update, we send it to the dnsupdate
task

s4-dns: added --update-list option to samba_dnsupdate

this allows us to use it for RODC netlogon updates

pidl: added ifdef guards around ndr headers

this prevents us parsing the leading headers needlessly

s4-kdc: added ifdef guards in kdc.h

this prevents too much recursion in the compiler preprocessor

s4-ldb: removed an unused variable

s4-kcc: fixed a incorrect context to kcctpl_get_all_bridgehead_dcs

s4-dsdb: added samdb_find_site_for_computer() and samdb_find_ntdsguid_for_computer()

these will be used by the new RODC dns update code

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-auth: removed unused variable dom_sid

s3: Lift smbd_messaging_context() from open_sockets_smbd()

s3: Remove two calls to procid_self()

s3: Remove talloc_autofree_context() from myhostname()

No destructor needed, so we can as well use the NULL context