source4/dsdb/samdb/samdb.h

   1 /*
   2    Unix SMB/CIFS implementation.
   3
   4    interface functions for the sam database
   5
   6    Copyright (C) Andrew Tridgell 2004
   7
   8    This program is free software; you can redistribute it and/or modify
   9    it under the terms of the GNU General Public License as published by
  10    the Free Software Foundation; either version 3 of the License, or
  11    (at your option) any later version.
  12
  13    This program is distributed in the hope that it will be useful,
  14    but WITHOUT ANY WARRANTY; without even the implied warranty of
  15    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  16    GNU General Public License for more details.
  17
  18    You should have received a copy of the GNU General Public License
  19    along with this program.  If not, see <http://www.gnu.org/licenses/>.
  20 */
  21
  22 #ifndef __SAMDB_H__
  23 #define __SAMDB_H__
  24
  25 struct auth_SidAttr;
  26 struct auth_session_info;
  27 struct dsdb_control_current_partition;
  28 struct dsdb_extended_replicated_object;
  29 struct dsdb_extended_replicated_objects;
  30 struct loadparm_context;
  31 struct tevent_context;
  32 struct tsocket_address;
  33 struct dsdb_trust_routing_table;
  34 struct gmsa_update_pwd_part;
  35 struct gmsa_update;
  36 struct gmsa_return_pwd;
  37 struct KeyEnvelope;
  38
  39 enum dsdb_password_checked {
  40         DSDB_PASSWORD_NOT_CHECKED = 0, /* unused */
  41         DSDB_PASSWORD_RESET,
  42         DSDB_PASSWORD_CHECKED_AND_CORRECT
  43 };
  44
  45 #include "lib/util/data_blob.h"
  46 #include "librpc/gen_ndr/security.h"
  47 #include <ldb.h>
  48 #include "lib/ldb-samba/ldif_handlers.h"
  49 #include "lib/util/time.h"
  50 #include "librpc/gen_ndr/samr.h"
  51 #include "libcli/util/werror.h"
  52 #include "librpc/gen_ndr/drsuapi.h"
  53 #include "librpc/gen_ndr/drsblobs.h"
  54 #include "dsdb/schema/schema.h"
  55 #include "auth/session.h"
  56 #include "dsdb/samdb/samdb_proto.h"
  57 #include "dsdb/common/dsdb_dn.h"
  58 #include "dsdb/common/util_links.h"
  59 #include "lib/crypto/gmsa.h"
  60 #include "dsdb/common/proto.h"
  61 #include "../libds/common/flags.h"
  62
  63 #define DSDB_CONTROL_CURRENT_PARTITION_OID "1.3.6.1.4.1.7165.4.3.2"
  64 struct dsdb_control_current_partition {
  65         /*
  66          * this is the version of the dsdb_control_current_partition
  67          * version 0: initial implementation
  68          * version 1: got rid of backend and module fields
  69          */
  70 #define DSDB_CONTROL_CURRENT_PARTITION_VERSION 1
  71         uint32_t version;
  72         struct ldb_dn *dn;
  73 };
  74
  75
  76 /*
  77   flags in dsdb_repl_flags to control replication logic
  78  */
  79 #define DSDB_REPL_FLAG_PRIORITISE_INCOMING 1
  80 #define DSDB_REPL_FLAG_PARTIAL_REPLICA     2
  81 #define DSDB_REPL_FLAG_ADD_NCNAME          4
  82 #define DSDB_REPL_FLAG_EXPECT_NO_SECRETS   8
  83 #define DSDB_REPL_FLAG_OBJECT_SUBSET       16
  84 #define DSDB_REPL_FLAG_TARGETS_UPTODATE    32
  85
  86 #define DSDB_CONTROL_REPLICATED_UPDATE_OID "1.3.6.1.4.1.7165.4.3.3"
  87
  88 #define DSDB_CONTROL_DN_STORAGE_FORMAT_OID "1.3.6.1.4.1.7165.4.3.4"
  89 /* DSDB_CONTROL_DN_STORAGE_FORMAT_OID has NULL data and behaves very
  90  * much like LDB_CONTROL_EXTENDED_DN_OID when the DB stores an
  91  * extended DN, and otherwise returns normal DNs */
  92
  93 #define DSDB_CONTROL_PASSWORD_CHANGE_STATUS_OID "1.3.6.1.4.1.7165.4.3.8"
  94
  95 struct dsdb_user_pwd_settings {
  96         uint32_t pwdProperties;
  97         uint32_t pwdHistoryLength;
  98         int64_t maxPwdAge;
  99         int64_t minPwdAge;
 100         uint32_t minPwdLength;
 101         bool store_cleartext;
 102         const char *netbios_domain;
 103         const char *dns_domain;
 104         const char *realm;
 105 };
 106
 107 struct dsdb_control_password_change_status {
 108         struct dsdb_user_pwd_settings domain_data;
 109         enum samPwdChangeReason reject_reason;
 110 };
 111
 112 #define DSDB_CONTROL_PASSWORD_HASH_VALUES_OID "1.3.6.1.4.1.7165.4.3.9"
 113
 114 #define DSDB_CONTROL_PASSWORD_CHANGE_OLD_PW_CHECKED_OID "1.3.6.1.4.1.7165.4.3.10"
 115 struct dsdb_control_password_change {
 116         enum dsdb_password_checked old_password_checked;
 117 };
 118
 119 /**
 120    DSDB_CONTROL_APPLY_LINKS is internal to Samba4 - a token passed between repl_meta_data and linked_attributes modules
 121 */
 122 #define DSDB_CONTROL_APPLY_LINKS "1.3.6.1.4.1.7165.4.3.11"
 123
 124 /*
 125  * this should only be used for importing users from Samba3
 126  */
 127 #define DSDB_CONTROL_BYPASS_PASSWORD_HASH_OID "1.3.6.1.4.1.7165.4.3.12"
 128
 129 /**
 130   OID used to allow the replacement of replPropertyMetaData.
 131   It is used when the current replmetadata needs to be edited.
 132 */
 133 #define DSDB_CONTROL_CHANGEREPLMETADATA_OID "1.3.6.1.4.1.7165.4.3.14"
 134
 135 /* passed when we want to get the behaviour of the non-global catalog port */
 136 #define DSDB_CONTROL_NO_GLOBAL_CATALOG "1.3.6.1.4.1.7165.4.3.17"
 137
 138 /* passed when we want special behaviour for partial replicas */
 139 #define DSDB_CONTROL_PARTIAL_REPLICA "1.3.6.1.4.1.7165.4.3.18"
 140
 141 /* passed when we want special behaviour for dbcheck */
 142 #define DSDB_CONTROL_DBCHECK "1.3.6.1.4.1.7165.4.3.19"
 143
 144 /* passed when dbcheck wants to modify a read only replica (very special case) */
 145 #define DSDB_CONTROL_DBCHECK_MODIFY_RO_REPLICA "1.3.6.1.4.1.7165.4.3.19.1"
 146
 147 /* passed by dbcheck to fix duplicate linked attributes (bug #13095) */
 148 #define DSDB_CONTROL_DBCHECK_FIX_DUPLICATE_LINKS "1.3.6.1.4.1.7165.4.3.19.2"
 149
 150 /* passed by dbcheck to fix the DN string of a one-way-link (bug #13495) */
 151 #define DSDB_CONTROL_DBCHECK_FIX_LINK_DN_NAME "1.3.6.1.4.1.7165.4.3.19.3"
 152
 153 /* passed by dbcheck to fix the DN SID of a one-way-link (bug #13418) */
 154 #define DSDB_CONTROL_DBCHECK_FIX_LINK_DN_SID "1.3.6.1.4.1.7165.4.3.19.4"
 155
 156 /* passed when importing plain text password on upgrades */
 157 #define DSDB_CONTROL_PASSWORD_BYPASS_LAST_SET_OID "1.3.6.1.4.1.7165.4.3.20"
 158
 159 /*
 160  * passed from the descriptor module in order to
 161  * store the recalculated nTSecurityDescriptor without
 162  * modifying the replPropertyMetaData.
 163  */
 164 #define DSDB_CONTROL_SEC_DESC_PROPAGATION_OID "1.3.6.1.4.1.7165.4.3.21"
 165
 166 /*
 167  * passed when creating a interdomain trust account through LSA
 168  * to relax constraints in the samldb ldb module.
 169  */
 170 #define DSDB_CONTROL_PERMIT_INTERDOMAIN_TRUST_UAC_OID "1.3.6.1.4.1.7165.4.3.23"
 171
 172 /*
 173  * Internal control to mark requests as being part of Tombstone restoring
 174  * procedure - it requires slightly special behavior like:
 175  *  - a bit different security checks
 176  *  - restoring certain attributes to their default values, etc
 177  */
 178 #define DSDB_CONTROL_RESTORE_TOMBSTONE_OID "1.3.6.1.4.1.7165.4.3.24"
 179
 180 /**
 181   OID used to allow the replacement of replPropertyMetaData.
 182   It is used when the current replmetadata needs only to be re-sorted, but not edited.
 183 */
 184 #define DSDB_CONTROL_CHANGEREPLMETADATA_RESORT_OID "1.3.6.1.4.1.7165.4.3.25"
 185
 186 /*
 187  * pass the default state of pwdLastSet between the "samldb" and "password_hash"
 188  * modules.
 189  */
 190 #define DSDB_CONTROL_PASSWORD_DEFAULT_LAST_SET_OID "1.3.6.1.4.1.7165.4.3.26"
 191
 192 /*
 193  * pass the userAccountControl changes between the "samldb" and "password_hash"
 194  * modules.
 195  */
 196 #define DSDB_CONTROL_PASSWORD_USER_ACCOUNT_CONTROL_OID "1.3.6.1.4.1.7165.4.3.27"
 197 struct dsdb_control_password_user_account_control {
 198         uint32_t req_flags; /* the flags given by the client request */
 199         uint32_t old_flags; /* the old flags stored (0 on add) */
 200         uint32_t new_flags; /* the new flags stored */
 201 };
 202
 203 /*
 204  * Ignores strict checking when adding objects to samldb.
 205  * This is used when provisioning, as checking all objects when added
 206  * was slow due to an unindexed search.
 207  */
 208 #define DSDB_CONTROL_SKIP_DUPLICATES_CHECK_OID "1.3.6.1.4.1.7165.4.3.28"
 209
 210 /* passed when we want to thoroughly delete linked attributes */
 211 #define DSDB_CONTROL_REPLMD_VANISH_LINKS "1.3.6.1.4.1.7165.4.3.29"
 212
 213 /*
 214  * lockoutTime is a replicated attribute, but must be modified before
 215  * connectivity occurs to allow password lockouts.
 216  */
 217 #define DSDB_CONTROL_FORCE_RODC_LOCAL_CHANGE "1.3.6.1.4.1.7165.4.3.31"
 218
 219 #define DSDB_CONTROL_INVALID_NOT_IMPLEMENTED "1.3.6.1.4.1.7165.4.3.32"
 220
 221 /*
 222  * Used to pass "user password change" vs "password reset" from the ACL to the
 223  * password_hash module, ensuring both modules treat the request identical.
 224  */
 225 #define DSDB_CONTROL_PASSWORD_ACL_VALIDATION_OID "1.3.6.1.4.1.7165.4.3.33"
 226 struct dsdb_control_password_acl_validation {
 227         bool pwd_reset;
 228 };
 229
 230 /*
 231  * Used to pass the current transaction identifier from the audit_log
 232  * module to group membership auditing module
 233  */
 234 #define DSDB_CONTROL_TRANSACTION_IDENTIFIER_OID "1.3.6.1.4.1.7165.4.3.34"
 235 struct dsdb_control_transaction_identifier {
 236         struct GUID transaction_guid;
 237 };
 238
 239 /*
 240  * passed when we want to allow validated writes to dNSHostName and
 241  * servicePrincipalName.
 242  */
 243 #define DSDB_CONTROL_FORCE_ALLOW_VALIDATED_DNS_HOSTNAME_SPN_WRITE_OID "1.3.6.1.4.1.7165.4.3.35"
 244
 245 /*
 246  * Used by descriptor module to pass a special SD to acl module,
 247  * one without the user-provided descriptor taken into account
 248  */
 249
 250 #define DSDB_CONTROL_CALCULATED_DEFAULT_SD_OID "1.3.6.1.4.1.7165.4.3.36"
 251 struct dsdb_control_calculated_default_sd {
 252         struct security_descriptor *default_sd;
 253         bool specified_sd:1;
 254         bool specified_sacl:1;
 255 };
 256
 257 #define DSDB_CONTROL_ACL_READ_OID "1.3.6.1.4.1.7165.4.3.37"
 258
 259 /*
 260  * Used by the operational module to indicate to the LDAP server that the keys
 261  * and Managed Password ID of a Group Managed Service Account are to be updated.
 262  */
 263 #define DSDB_CONTROL_GMSA_UPDATE_OID "1.3.6.1.4.1.7165.4.3.38"
 264 /* struct gmsa_update */
 265
 266 #define DSDB_EXTENDED_REPLICATED_OBJECTS_OID "1.3.6.1.4.1.7165.4.4.1"
 267 struct dsdb_extended_replicated_object {
 268         struct ldb_message *msg;
 269         struct GUID object_guid;
 270         struct GUID *parent_guid;
 271         const char *when_changed;
 272         struct replPropertyMetaDataBlob *meta_data;
 273
 274         /* Only used for internal processing in repl_meta_data */
 275         struct ldb_dn *last_known_parent;
 276         struct ldb_dn *local_parent_dn;
 277 };
 278
 279 /*
 280  * the schema_dn is passed as struct ldb_dn in
 281  * req->op.extended.data
 282  */
 283 #define DSDB_EXTENDED_SCHEMA_UPDATE_NOW_OID "1.3.6.1.4.1.7165.4.4.2"
 284
 285 struct dsdb_extended_replicated_objects {
 286         /*
 287          * this is the version of the dsdb_extended_replicated_objects
 288          * version 0: initial implementation
 289          */
 290 #define DSDB_EXTENDED_REPLICATED_OBJECTS_VERSION 3
 291         uint32_t version;
 292
 293         /* DSDB_REPL_FLAG_* flags */
 294         uint32_t dsdb_repl_flags;
 295
 296         struct ldb_dn *partition_dn;
 297
 298         const struct repsFromTo1 *source_dsa;
 299         const struct drsuapi_DsReplicaCursor2CtrEx *uptodateness_vector;
 300
 301         uint32_t num_objects;
 302         struct dsdb_extended_replicated_object *objects;
 303
 304         uint32_t linked_attributes_count;
 305         struct drsuapi_DsReplicaLinkedAttribute *linked_attributes;
 306
 307         WERROR error;
 308
 309         bool originating_updates;
 310 };
 311
 312 /* In ldb.h: LDB_EXTENDED_SEQUENCE_NUMBER 1.3.6.1.4.1.7165.4.4.3 */
 313
 314 #define DSDB_EXTENDED_CREATE_PARTITION_OID "1.3.6.1.4.1.7165.4.4.4"
 315 struct dsdb_create_partition_exop {
 316         struct ldb_dn *new_dn;
 317 };
 318
 319 /* this takes a struct dsdb_fsmo_extended_op */
 320 #define DSDB_EXTENDED_ALLOCATE_RID_POOL "1.3.6.1.4.1.7165.4.4.5"
 321
 322 struct dsdb_fsmo_extended_op {
 323         uint64_t fsmo_info;
 324         struct GUID destination_dsa_guid;
 325 };
 326
 327 #define DSDB_EXTENDED_SCHEMA_UPGRADE_IN_PROGRESS_OID "1.3.6.1.4.1.7165.4.4.6"
 328
 329 /*
 330  * passed from the descriptor module in order to
 331  * store the recalculated nTSecurityDescriptor without
 332  * modifying the replPropertyMetaData.
 333  */
 334 #define DSDB_EXTENDED_SEC_DESC_PROPAGATION_OID "1.3.6.1.4.1.7165.4.4.7"
 335 struct dsdb_extended_sec_desc_propagation_op {
 336         struct ldb_dn *nc_root;
 337         struct GUID guid;
 338         bool include_self;
 339         struct GUID parent_guid;
 340 };
 341
 342 /* this takes no data */
 343 #define DSDB_EXTENDED_CREATE_OWN_RID_SET "1.3.6.1.4.1.7165.4.4.8"
 344
 345 /* this takes a struct dsdb_extended_allocate_rid */
 346 #define DSDB_EXTENDED_ALLOCATE_RID "1.3.6.1.4.1.7165.4.4.9"
 347
 348 struct dsdb_extended_allocate_rid {
 349         uint32_t rid;
 350 };
 351
 352 #define DSDB_EXTENDED_SCHEMA_LOAD "1.3.6.1.4.1.7165.4.4.10"
 353
 354 #define DSDB_OPENLDAP_DEREFERENCE_CONTROL "1.3.6.1.4.1.4203.666.5.16"
 355
 356 struct dsdb_openldap_dereference {
 357         const char *source_attribute;
 358         const char **dereference_attribute;
 359 };
 360
 361 struct dsdb_openldap_dereference_control {
 362         struct dsdb_openldap_dereference **dereference;
 363 };
 364
 365 struct dsdb_openldap_dereference_result {
 366         const char *source_attribute;
 367         const char *dereferenced_dn;
 368         int num_attributes;
 369         struct ldb_message_element *attributes;
 370 };
 371
 372 struct dsdb_openldap_dereference_result_control {
 373         struct dsdb_openldap_dereference_result **attributes;
 374 };
 375
 376 struct samldb_msds_intid_persistant {
 377         uint32_t msds_intid;
 378 };
 379
 380 #define SAMLDB_MSDS_INTID_OPAQUE "SAMLDB_MSDS_INTID_OPAQUE"
 381
 382 #define DSDB_PARTITION_DN "@PARTITION"
 383 #define DSDB_PARTITION_ATTR "partition"
 384
 385 #define DSDB_EXTENDED_DN_STORE_FORMAT_OPAQUE_NAME "dsdb_extended_dn_store_format"
 386 struct dsdb_extended_dn_store_format {
 387         bool store_extended_dn_in_ldb;
 388 };
 389
 390 #define DSDB_OPAQUE_PARTITION_MODULE_MSG_OPAQUE_NAME "DSDB_OPAQUE_PARTITION_MODULE_MSG"
 391
 392 #define DSDB_FULL_JOIN_REPLICATION_COMPLETED_OPAQUE_NAME "DSDB_FULL_JOIN_REPLICATION_COMPLETED"
 393
 394 #define DSDB_OPAQUE_ENCRYPTED_CONNECTION_STATE_NAME "DSDB_OPAQUE_ENCRYPTED_CONNECTION_STATE_MSG"
 395 struct dsdb_encrypted_connection_state {
 396         bool using_encrypted_connection;
 397 };
 398
 399 #define DSDB_SAMDB_MINIMUM_ALLOWED_RID   1000
 400
 401 #define DSDB_METADATA_SCHEMA_SEQ_NUM    "SCHEMA_SEQ_NUM"
 402
 403 /*
 404  * must be in LDB_FLAG_INTERNAL_MASK
 405  * see also the values in lib/ldb/include/ldb_module.h
 406  */
 407 #define DSDB_FLAG_INTERNAL_FORCE_META_DATA 0x10000
 408
 409 #define SAMBA_COMPATIBLE_FEATURES_ATTR "compatibleFeatures"
 410 #define SAMBA_REQUIRED_FEATURES_ATTR "requiredFeatures"
 411 #define SAMBA_FEATURES_SUPPORTED_FLAG "@SAMBA_FEATURES_SUPPORTED"
 412
 413 #define SAMBA_SORTED_LINKS_FEATURE "sortedLinks"
 414 #define SAMBA_ENCRYPTED_SECRETS_FEATURE "encryptedSecrets"
 415 /*
 416  * lmdb level one feature is an experimental release with basic support
 417  * for lmdb database files, instead of tdb.
 418  * - Keys are limited to 511 bytes long so GUID indexes are required
 419  * - Currently only the:
 420  *     partition data files
 421  *   are in lmdb format.
 422  */
 423 #define SAMBA_LMDB_LEVEL_ONE_FEATURE "lmdbLevelOne"
 424
 425 #endif /* __SAMDB_H__ */