provision: Avoid linking in multiple copies of security python module.

s3:winbind: Fix an uninitialized variable

s4-drsserver: sort by DN to give tree order

This might help the windows client with ordered requests. Later we
need to support the "ancestors" mode flag.

s4-ldb: server side sort args are const char *

s4-ldb: fixed call argument order for ldb_dn_from_ldb_val

This caused _lots_ of problems, especially in server side sort

s4-ldb: added a bunch more debug for DC join

These additional debug messages were added to help us track down
w2k8->s4 domain join

s4-ldb: when tracing, show ldb_set_debug messages

s4-ldbmodules: allow instanceType to be specified by clients

This is needed for the WSPP ADS testsuite

s4-util: windows only accepts lowercase hex encodings for extended DNs

s4-torture: add some debug info to RPC-HANDLES

s4-rpcserver: added support for shared handles

This supports shared RPC handles across connections on all RPC
interfaces.

It turns out that w2k3 and w2k8 don't actually support this on all
pipes. We need to test which pipes we should enable this on.

s4-lsa: added support for QuerySecurity on LSA

This follows the sd pattern from samba3

s4-rpcserver: added shared association groups

This patch allows us to share association groups and their rpc handles
between connections. This is needed for some DRSUAPI behaviour when
recent windows clients connect.

s4-rpcserver: run all RPC operations in a single task

This will make it much easier to implement shared handles with
association groups. It also means we can shared the ldb between RPC
connections.

s4-rpc: remove two unused functions

s4-ldb: only show the outer level of ldb ops when tracing

s4-ldb: don't show timestamps on every line of ldb traces

This adds ldb_debug_add() and ldb_debug_end() to format multiline
messages

build: use AS_HELP_STRING() for --with-localedir

Michael

build: add switch "--with-codepagedir=DIR" to configure.

This is to address bug #6444.

Michael

build: add datadir to "make showlayout"

Michael

Move the check above the talloc

s3-winbindd: Fix Bug #6711: trusts to windows 2008 (2008 r2) not working.

Winbindd should always try to use LSA via an schannel authenticated ncacn_ip_tcp
connection when talking to AD for LSA lookup calls.

In Samba <-> W2k8 interdomain trust scenarios, LookupSids3 and LookupNames4 via an
schannel ncacn_ip_tcp LSA connection are the *only* options to successfully resolve
sids and names.

Guenther

s3-winbindd: add cm_connect_lsa_tcp().

Guenther

lib/tevent: a cleaner fix for be4ac227842530d484659f2db683453366326d8b segv

Revert 23abcd2318c69753aa2a144e1dc0f9cf9efdb705 and fix logic bug.

The current code loops through the event contexts, when it sees a different
one, it notifies the current one (ev) and updates ev to point to the new one.

This is dumb, because:
(1) ev starts as NULL, so this code crashes, and
(2) The final context will not be notified.

The correct fix for this is to update ev to the new one, then notify it.
Volker's fix works because we currently always have one event context.

Signed-off-by: Rusty Russell <rusty@rustcorp.com.au>

s4:dsdb Fix of double addition of SD-s

Also add error strings in descriptor module

s4:ldb Add 'single-value' support to LDB.

This is currently only triggered via Samba4's schema code.

Merge branch 'master' of git://git.samba.org/samba

Initial Implementation of the DS objects access checks.

Currently disabled. The search will be greatly modified,
also the object tree stuff will be simplified.

Add support in the ldb_dn.c code for MS-ADTS:3.1.1.5.1.2 Naming Constraints

Add tests for MS-ADTS:3.1.1.5.1.2 Naming Constraints

s4:dsdb Run the new 'descriptor' module by default.

This code was derived from the objectclass module, and we need the new
code in the default provision, or else no ACL is set on each object.

Andrew Bartlett

s4-ldb: bit prettier output

s4-ldb: fixed O(n^2) string handling in ldif debug print

s4-samdb: enable ldb tracing when log level >= 10

s4-schema: don't trace the schema load (too verbose)

s4-ldb: add --trace command line option to ldb tools

This enabled LDB_FLG_ENABLE_TRACING

s4-ldb: add a LDB_FLG_ENABLE_TRACING for full ldb tracing

When LDB_FLG_ENABLE_TRACING is set ldb will send full traces
of all operations and results

s4-ldap: default edn type is 0

s4-ldb: add support for extended DNs in the rootDSE

W2K8 join as a DC relies on being able to ask for the sid component of
extended DNs from the rootDSE DNs

s4-dsdb: fixed a printf format warning

Merge branch 'master' of git://git.samba.org/samba

s4:kerberos Fix the salt to match Windows 2008.

The previous commit changed the wrong end - we must fix our server,
not our client.

Andrew Bartlett

s4:provision Make our default salt match our server behaviour

We need to look into salting algorithms further.

Andrew Bartlett

tdb:tdbtool: fix indentation.

Michael

tdb:tdbtool: add transaction_start/_commit/_cancel commands.

So one can perform tdbtool operations protected by transactions.

Michael

tdb:tdbtool: add the "speed" command to the help text.

Michael

s4:provision - Fix up ProvisioningError class as suggested by Jelmer

s4:samdb/tools - That should fix now the last failures

s4:libnet_become_dc - bump down the level requested by abartlet

s4:scripts - Reintroduce "-H" parameter

I removed it since on some scripts it was present, on others not - so I thought
it wouldn't be really needed. This was a bad decision (pointed out by abartlet).
So I reintroduce it on all scripts (to have consistent parameters).

Revert "blackbox:test_kinit - Remove the "-H" (hive) parameter"

This reverts commit d4389a230b6aea5a0b2a98e255b14a59c8248b0b.

This revert changed the behaviour which I didn't expect. Thanks abartlet to
point this out!

s4:provision Make us Windows 2008 level by defualt again

Also add a note to clarify that this should not be changed without
discussion and consensus.  We don't want this bouncing around.

Paramater support to allow optional selection of Win2003 mode welcomed.

Andrew Bartlett

s3:secrets_schannel: revert to using version 1

It doesn't really matter if the entries
have invalid context in it. Older versions of samba
refuse to open the file if the version doesn't match.

If we can't parse individual records, we'll fail schannel binds,
but the clients are supposed to reestablish the netlogon secure channel
by doing ServerReqChallenge/ServerAuthenticate* again. This
will just overwrite the old record.

metze

s3:winbindd: avoid writing to a closed connection and generate SIGPIPE

metze

async_sock: return -1/EPIPE if we're getting an end of file on read.

This makes the error handling in the callers easier.

metze

s3:lib/select: don't overwrite errno in the signal handler

metze

tevent: make sure we don't set errno within the signal handler function.

metze

s4:dsdb/resolve_oids: add fast pathes for the common operations without oids

metze

s4:dsdb/resolve_oids: check return values in recursion

metze

s4:py_security Add missing header

Merge branch 'master' of git://git.samba.org/samba

s4:provision Use code to store domain join in 'net join' as well

This ensures we only have one codepath to store the secret, and
therefore that we have a single choke point for setting the
saltPrincipal, which we were previously skipping.

Andrew Bartlett

s4:ldb print out which LDB the transaction is still active on.

s4:provision split provision of DNS zone and self join keytab

s4-selftest: disable RAP-SCAN test

also pointless now we have docs

s4-selftest: disable RPC-COUNTCALLS

The RPC-COUNTCALLS was useful when we were working out IDL by hand

Initial implementation of security descriptor creation in DS

TODO's:
ACE sorting and clarifying the inheritance of object specific ace's.

Merge branch 'master' of git://git.samba.org/samba

s4:python tools - try to fix some test problems

s4:samba3sam.py test - remove the primary group ID attribute here

This shouldn't be specified on creation time (Windows Server doesn't allow that).
Hope this also fixes the test (see buildfarm).

s4:sec_descriptor - fix constant

blackbox:test_kinit - Remove the "-H" (hive) parameter

The "enableaccount" script works only on local LDB anymore - therefore remove
this parameter.

Disable descriptor module unless enabled in smb.conf

Since this code may still have some problems, it is not executed by default.
To enable descriptor inheritance add:
acl:inheritance = true
in your smb.conf

s4:dsdb/common/util - Check for the right forest/domain function level

This adds a function which performs the check for the supported forest and
domain function levels. On an unsuccessful result a textual error message can
be created (parameter "errmsg" != NULL) which gives hints for the user to help
him fixing the issue.

s4:server.c - add linespace (only cosmetic)

talloc: fixed talloc_disable_null_tracking()

When we disable null tracking, we need to move any existing objects
that are under the null_context to be parented by the true NULL
context.

We also need a new talloc_enable_null_tracking_no_autofree() function,
as the talloc testsuite cannot cope with the moving of the autofree
context under the null_context as it wants to check exact counts of
objects under the null_context, and smbtorture has a large number of
objects in the autofree_context from .init functions

s4:domainlevel - fixed another error

The second "nTMixedDomain" attribute (under Partitions/Domain-DN) is only a
copy of the one under the directory root object. Therefore there doesn't exist
the "Windows 2000 Mixed" forest level.

Fixed a difference in domain sid type when SID is provided by user.

s4:ldb_parse - Fix the type of an array entry

I found this through a compile warning. Hope that I got this right.

s4:provision_configuration - fix "sPNMappings"

I reread some docs about this attributes and it seems that this as mapping
attribute isn't host specific but in common for the whole domain. To allow
Windows DCs to join our s4 domain sooner or later we have to provide the full
attribute.

s4:domainlevel - further improvements

- The tool displays now also mixed/interim domain levels and warns about them
  (s4 isn't capable to run on them)
- But it allows now also to raise/step-up from them
- It displays now also levels higher than 2008 R2 (altough we don't support them
  yet) but to be able to get a correct output

blackbox/test_ldb.sh: test searching using OIDs instead of names for attributes and classes

metze

s4:provision: add the 'resolve_oids' on the top of the module stack

metze

dsdb/samdb: add resolve_oids module

Windows Servers allow OID strings to be used instead of
attribute/class names.

For now we only resolve the OIDs in the search expressions,
the rest will follow.

metze

s4:build: require ldb 0.9.7

metze

s4:ldb: add ldb_parse_tree_copy_shallow() and change version to 0.9.7

metze

librpc: rerun 'make idl'

metze

drsblobs.idl: fix repsFromTo2 blob size calculation

metze

rerun: make idl

metze

drsblobs.idl: add decoding for repsFromTo2

This is used in windows 2008.

metze

s4-auth: add SID_NT_ENTERPRISE_DCS is a server trust account

s4-drs: security checking on DRS needs to default to on

s4-ldb: display an error if we can't decode a NDR blob

s4-repl: need param.h for lp_parm_bool

Handle dsdb_class_by_lDAPDisplayName returned values in schema_inferiors.c

Move replmd_drsuapi_DsReplicaCursor2_compare to a common place.

Add drs_security_level_check for dcesrv calls security checks

There is also an option to disable the security check
by specifying in the smb.conf file:
drs:disable_sec_check = true

s4:provision_basedn_modify - fix the "auditPolicy" attribute

I had to think about how to encode the string 0x0001 (taken from Windows Server).
The problem is due to the "0" byte at the beginning of it. BASE64 encoding
seems a good method to do it.

s4:utils Remove typo...

s4:dsdb Print the partition we failed to suggest replication for