r11538: More notes on things we need.

Andrew Bartlett

r11537: Make the authsam_account_ok routine callable by external users (the KDC).

Andrew Bartlett

r11536: Add a hook for client-principal access control to hdb-ldb, re-using
the code in auth/auth_sam.c for consistancy.  This will also allow us
to have one place for a backend directory hook.

I will use a very similar hook to add the PAC.

Andrew Bartlett

r11535: Support void functions when generating templates.

r11534: Consider ntvfs as a library

r11533: Be a bit less intrusive

r11532: Enable kerberos session setup for winbind smb connections

r11529: Disable DNS lookups for forwarded credentials, unless really, really
wanted.  There is nothing that suggests that the host we forward
credentials to will not have other interfaces, unassoicated with their
service name.  Likewise, the name may be a netbios, not DNS name.

This should avoid some nasty DNS lookups.

Andrew Bartlett

r11528: Separate finding dcs from initializing a domain. Makes it easier to possibly
support cldap and other stuff in the future.

This temporarily disables wbinfo -t, but that will come back soon.

Try an ldap bind using gss-spnego. This got me krb5 binds against "our" w2k3
and a trusted w2k, although with some memleaks from krb5 and a BAD_OPTION
tgs-rep error.

Volker

r11527: Has this ever been run?

r11526: And another warning...

r11525: Move lookups (including the attribute search) for users from
kdc/hdb-ldb.c to share the routines used for auth/

This will require keeping the attribute list in sync, but I think it
is worth it for the next steps (sharing the server_info generation).

Andrew Bartlett

r11524: More work on our hdb backend in the KDC.

The aim here is to restructure the queries to match the queries we do
in auth, then to share the code that does the actual query (at least
for user logins).

Then we can generate the PAC from that shared query, rather than a
seperate query.

Andrew Bartlett

r11523: Working towards having Samba3 join Samba4, this allows the SASL
credentials to be NULL, where the client is requesting a CIFS style
server-first negTokenInit.

Andrew Bartlett

r11522: Add support for delegated credentials and machine account credentials
to ldb, based on the sessionInfo we now pass around.

Andrew Bartlett

r11521: Add in client support for checking supportedSASLmechanisms, and then
determining a mechanism to use.

Currently it doesn't to fallbacks like SPNEGO does, but this could be
added (to GENSEC, not to here).

This also adds a new function to GENSEC, which returns a list of SASL
names in our preference order (currently determined by the build
system of all things...).

Also make the similar function used for OIDs in SPNEGO do the same.

This is all a very long-winded way of moving from a hard-coded NTLM to
GSS-SPNEGO in our SASL client...

Andrew Bartlett

r11520: indent

r11519: And an uninitialized variable...

r11518: Fix a warning

r11517: Cleanup time, this looks larger than it is. This mainly gets rid of
wb_domain_request, now that we have queued rpc requests.

Volker

r11516: Fix a valgrind bug I introduce with queued requests

r11515: Add some talloc_get_type

r11514: Fixup debug message

r11513: Add the ability to use the local machine account instead of a static
password or delegation.

Add the ability to delegate for RPC pipes on the RPC proxy backend
(the backend itself seems be having problems however).

Andrew Bartlett

r11512: fix typo

r11503: be quite...

metze

r11502: make sure we always use the 7 chars for the unix socket name.

this is to test if that works on irix 6.4 where we can only use 16 chars for the sun_path
of the unix sockets.

the plan is to make multiple interfaces possible with socket wrapper,
and the format will change to ("%c%02X%04X", type, iface, port),
which is also 7 char to the file name

metze

r11501: change provision code to use the new display specifiers

r11500: fixed a bug in the variable substition code using the new limit argument to split()

r11499: added a minimal set of display specifiers for mmc to use to display
the core elements of a Samba4 domain

r11498: added an optional extra argument to split to limit the number of
pieces a string is split into. This allows for a fix in the variable
substitution used in provisioning

r11497: Don't name parameters 'floor'.  Rename fl and floor to epm_floor for
consistancy.

Andrew Bartlett

r11496: add a minimal ads-compatible schema into our sam.ldb setup. This is
needed for mmc management of Samba4.

r11489: add the one replication cycle test to NBT-WINSREPLICATION-QUICK

metze

r11488: handle the stupid name release demand a windows there send...

metze

r11487: thanks to make test I noticed a dead lock bug, in the last change,
this only happens with socket_wrapper as socket_connect() returns NT_STATUS_OK
instead of NT_STATUS_MORE_PROCESSING_REQUIRED, and we missed to replace the
fde event handler...

metze

r11485: prevent us from calling the request handler recursiv when
the handler calls talloc_free(wrepl_socket)

metze

r11484: test some multi homed record merging

metze

r11481: Disable pre-linking on VMS

r11480: demonstrate the only the positive name query response cares,
not the addresses that are returned in it

metze

r11479: fix compiler warning

metze

r11478: add owned,active,multi homed vs. * section

metze

r11477: This seems really nasty, but as I understand it an attacker cannot
change this checksum, as it is inside the encrypted packets.

Where the client (such as Samba3) fakes up GSSAPI, allow it to
continue.  We can't rid the world of all Samba3 and similar clients...

Andrew Bartlett

r11476: finally fixed the intermittent registry server bug! This has been
cropping up occasionally for ages. The problem was the generic reg
code setting up a backend_data value, which it has no business doing
(backend_data is for backends ...)

r11475: removed a extraneous ldb_delete() call (i had it there for debugging)

r11474: - enable ldb transactions from ejs

- speed up provisioning a bit using a ldb transaction (also means you
  can't end up with a ldb being half done)

r11473: Based on work by Jelmer, implement the [async] flag for rpc requests. If it's
not there (it's not yet on *any* call... :-)), the rpc client strictly
sequences calls to an rpc pipe. Might need some more work on the exact
sequencing semantics when a pipe with both sync and async calls is actually
deployed, but I want it in for winbind simplification.

Volker

r11472: use talloc_get_type() to try to catch an intermittent failure I'm seeing in the ldb winreg backend

r11471: Describe how kerberos forwarding works with the ntvfs.

Andrew Bartlett

r11470: To a server trusted for delegation (checked for in the gss libs),
delegate by default.

Andrew Bartlett

r11469: Fix typo, and use the correct (RFC4120) session key for delegating
credentials.  This means we now delegate to windows correctly.

Andrew Bartlett

r11468: Merge a bit more of init_sec_context from Heimdal CVS into our
DCE_STYLE modified version, and add parametric options to control
delegation.

It turns out the only remaining issue is sending delegated credentials
to a windows server, probably due to the bug lha mentions in his blog
(using the wrong key).

If I turn delgation on in smbclient, but off in smbd, I can proxy a
cifs session.

I can't wait till Heimdal 0.8, so I'll see if I can figure out the fix
myself :-)

Andrew Bartlett

r11467: yay! mmc now accepts our schema. The trick was to get all the OID
mappings right for the attributeTypes field of the aggregate schema

now to add the display specifiers and I won't need the proxy module
any more

r11466: Clear up some memory leaks in smbclient.

Andrew Bartlett

r11463: more progress on the schema generator. mmc now accepts all parts
except the attributeTypes fields of the Aggregrate record. Proxying
just that field and the display specifiers gives us a working mmc
client

hopefully i'll work out what it doesn't like about the attributeTypes
field soon

r11462: Fix the build:  somehow I lost the header for this samba-specific hack.

Andrew Bartlett

r11459: display a schemaIDGUID as a guid in ldif, making it easier to work
with schemas in ldbedit

r11458: fixed our ejs smbscript interfaces to use arrays where appropriate. In
js arrays are a special type of object where the length property is
automatic, and cannot be modified manually. Our code was manually
setting length, which made it abort when someone passed in a real ejs
array. To fix this we need to create real arrays instead of objects,
and remove the code that manually sets the length

r11457: fixed the winreg IDL and torture code so key and value enumerations
work again. The automatic value() is fine for the length, but cannot
be used for the size as the size is not the number of bytes being
sent, but the number of bytes that the server is allowed to use in the
reply

r11456: fixed a ejs parser bug for delete() statements

r11453: Fix warning, for a case that just can't happen.

Andrew Bartlett

r11452: Update Heimdal to current lorikeet, including removing the ccache side
of the gsskrb5_acquire_cred hack.

Add support for delegated credentials into the auth and credentials
subsystem, and specifically into gensec_gssapi.

Add the CIFS NTVFS handler as a consumer of delegated credentials,
when no user/domain/password is specified.

Andrew Bartlett

r11447: fixed a problem with the ldap server spinning using CPU time

r11442: Don't use BASE-NEGNOWAIT any more.  It is a mostly meaningless test.

Andrew Bartlett

r11441: Remove the auth_domain module from Samba4, as we will only do things
via winbindd in Samba4.

Andrew Bartlett

r11440: Actually check the right thing for 'is this a machine account' (thanks metze).

Andrew Bartlett

r11439: Make presedence on strcmp comparison clear, and fill in
logon_parameters for the auth subsystem.

Andrew Bartlett

r11438: Move enum samr_RejectReason into misc.idl so I can use it in a global
prototype.

Andrew Bartlett

r11437: Fix (valid!) use of uninitialised value warnings.

Andrew Bartlett

r11436: this is work in progress for generating the schema we need for our ADS
ldap server. It's still not quite right, and I'm chasing down a few
errors that mmc throws up, but its a lot closer than it was. I had to
change the approach quite substantially over the last couple of days,
but this approach now seems to be working out.

r11429: - add owned,active,sgroup vs. unique, group and mhomed replica

special group vs. special group will be done later

metze

r11426: add owned,active,normalgroup vs. * replica sections

metze

r11425: add owned,active,unique vs. multi homed section

metze

r11424: Fix an uninitialized variable warning

r11423: Add some TALLOC_CTX

r11422: Remove unused args

r11419: add owned,unique,active vs. special group replica section

metze

r11418: - add unique,owned,active vs. normal group section
- we handle incoming release demands for that

metze

r11417: Add TODO for the build system

r11416: add some more comments

metze

r11415: - create a seperate nbt socket for handling incoming packets
- remove useless .release attribute, we have seperate tests for this
  now
- add first owned,active vs. replica test, including handling incoming
  name queries from the server

metze

r11414: Add passing around of logon_parameters to Samba4 auth_winbind

Andrew Bartlett

r11413: More comments, plus always check (and update) the credentials chain,
regardless the authentication result on a particular user.

Andrew Bartlett

r11412: These comments may not be much, but my eyes scan code with even
minimal comments much better (much like volker scans code of less than
80 cols better ;-)

Andrew Bartlett

r11411: Add to Samba4 the Samba3 patch I just posted for machine account
logins (changing the winbindd interface).

Clean up the wbsrv_samba3_async_epilogue() handling, as it was mixing
auth and other replies, such that all replies were having the auth
error strings set.  We now do a better job of filling in the right
errors in the right places.

Andrew Bartlett

r11410: Fix rejoin as a BDC by modifying, rather than trying to recreate, the
server reference.

Andrew Bartlett

r11409: The use of 'password server = ' here is still bogus, but for now at
least don't allow binding to become uninitialised.

Andrew Bartlett

r11408: fixed the mapping of ldb errors to ldap errors in the ldap server

r11407: Push 'recreate account' logic into libnet/libnet_join.c.  We don't
return the pesky USER_EXISTS 'error' code any more, and it is much
easier to handle this inline.

Andrew Bartlett

r11406: Clean up uninitialised value warnings found by -01.

The warnings were caused by the structure assignements, which we don't
need to do.  The actual values are filled in by the NDR layer later.

Andrew Bartlett

r11405: Ensure we can never have secret4 be uninitialised.  Found after
volker's urging on the use of -O1.

Andrew Bartlett

r11404: Another torture test and a new WERR.

Andrew Bartlett

r11403: improved the error handling in the ildap ldb backend. Now passes
through all ldap errors except on search. Search errors are only
available via ldb_errstring() until we decide how to fix ldb_search().

r11402: In response to comments by volker, expand our Netlogon DsRGetDCName
IDL and testsuites.  The server-side of this remains a stub, we should
probably be doing ldb searches for the server reference record.

Andrew Bartlett

r11401: A simple hack to have our central credentials system deny sending LM
authentication for user@realm logins and machine account logins.

This should avoid various protocol downgrade attacks.

Andrew Bartlett

r11400: fix compiler warnings

metze

r11399: Add another case where we need to fallback, if the KDC isn't there.

Andrew Bartlett

r11394: Allow KDC unreachable as another 'forget about gssapi' error on SPNEGO.

Andrew Bartlett

r11393: Avoid error messages and get more correctness with long plaintext passwords.

Andrew Bartlett

r11392: After confirmation from Love, fix a compiler warning