source4/dsdb/samdb/ldb_modules/samldb.c

   1 /*
   2    SAM ldb module
   3
   4    Copyright (C) Simo Sorce  2004
   5    Copyright (C) Andrew Bartlett <abartlet@samba.org> 2005
   6
   7    * NOTICE: this module is NOT released under the GNU LGPL license as
   8    * other ldb code. This module is release under the GNU GPL v2 or
   9    * later license.
  10
  11    This program is free software; you can redistribute it and/or modify
  12    it under the terms of the GNU General Public License as published by
  13    the Free Software Foundation; either version 2 of the License, or
  14    (at your option) any later version.
  15
  16    This program is distributed in the hope that it will be useful,
  17    but WITHOUT ANY WARRANTY; without even the implied warranty of
  18    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  19    GNU General Public License for more details.
  20
  21    You should have received a copy of the GNU General Public License
  22    along with this program; if not, write to the Free Software
  23    Foundation, Inc., 675 Mass Ave, Cambridge, MA 02139, USA.
  24 */
  25
  26 /*
  27  *  Name: ldb
  28  *
  29  *  Component: ldb samldb module
  30  *
  31  *  Description: add embedded user/group creation functionality
  32  *
  33  *  Author: Simo Sorce
  34  */
  35
  36 #include "includes.h"
  37 #include "libcli/ldap/ldap.h"
  38 #include "lib/ldb/include/ldb_errors.h"
  39 #include "lib/ldb/include/ldb_private.h"
  40 #include "dsdb/samdb/samdb.h"
  41 #include "libcli/security/security.h"
  42 #include "librpc/gen_ndr/ndr_security.h"
  43 #include "db_wrap.h"
  44
  45 int samldb_notice_sid(struct ldb_module *module,
  46                       TALLOC_CTX *mem_ctx, const struct dom_sid *sid);
  47
  48 static BOOL samldb_msg_add_sid(struct ldb_module *module, struct ldb_message *msg, const char *name, const struct dom_sid *sid)
  49 {
  50         struct ldb_val v;
  51         NTSTATUS status;
  52         status = ndr_push_struct_blob(&v, msg, sid,
  53                                       (ndr_push_flags_fn_t)ndr_push_dom_sid);
  54         if (!NT_STATUS_IS_OK(status)) {
  55                 return -1;
  56         }
  57         return (ldb_msg_add_value(msg, name, &v, NULL) == 0);
  58 }
  59
  60 /*
  61   allocate a new id, attempting to do it atomically
  62   return 0 on failure, the id on success
  63 */
  64 static int samldb_set_next_rid(struct ldb_context *ldb, TALLOC_CTX *mem_ctx,
  65                                struct ldb_dn *dn, uint32_t old_id, uint32_t new_id)
  66 {
  67         struct ldb_message msg;
  68         int ret;
  69         struct ldb_val vals[2];
  70         struct ldb_message_element els[2];
  71
  72         if (new_id == 0) {
  73                 /* out of IDs ! */
  74                 ldb_debug(ldb, LDB_DEBUG_FATAL, "Are we out of valid IDs ?\n");
  75                 return LDB_ERR_OPERATIONS_ERROR;
  76         }
  77
  78         /* we do a delete and add as a single operation. That prevents
  79            a race, in case we are not actually on a transaction db */
  80         ZERO_STRUCT(msg);
  81         msg.dn = ldb_dn_copy(mem_ctx, dn);
  82         if (!msg.dn) {
  83                 return LDB_ERR_OPERATIONS_ERROR;
  84         }
  85         msg.num_elements = 2;
  86         msg.elements = els;
  87
  88         els[0].num_values = 1;
  89         els[0].values = &vals[0];
  90         els[0].flags = LDB_FLAG_MOD_DELETE;
  91         els[0].name = talloc_strdup(mem_ctx, "nextRid");
  92         if (!els[0].name) {
  93                 return LDB_ERR_OPERATIONS_ERROR;
  94         }
  95
  96         els[1].num_values = 1;
  97         els[1].values = &vals[1];
  98         els[1].flags = LDB_FLAG_MOD_ADD;
  99         els[1].name = els[0].name;
 100
 101         vals[0].data = (uint8_t *)talloc_asprintf(mem_ctx, "%u", old_id);
 102         if (!vals[0].data) {
 103                 return LDB_ERR_OPERATIONS_ERROR;
 104         }
 105         vals[0].length = strlen((char *)vals[0].data);
 106
 107         vals[1].data = (uint8_t *)talloc_asprintf(mem_ctx, "%u", new_id);
 108         if (!vals[1].data) {
 109                 return LDB_ERR_OPERATIONS_ERROR;
 110         }
 111         vals[1].length = strlen((char *)vals[1].data);
 112
 113         ret = ldb_modify(ldb, &msg);
 114         return ret;
 115 }
 116
 117 /*
 118   allocate a new id, attempting to do it atomically
 119   return 0 on failure, the id on success
 120 */
 121 static int samldb_find_next_rid(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 122                                 struct ldb_dn *dn, uint32_t *old_rid)
 123 {
 124         const char * const attrs[2] = { "nextRid", NULL };
 125         struct ldb_result *res = NULL;
 126         int ret;
 127         const char *str;
 128
 129         ret = ldb_search(module->ldb, dn, LDB_SCOPE_BASE, "nextRid=*", attrs, &res);
 130         if (ret != LDB_SUCCESS) {
 131                 return ret;
 132         }
 133         if (res->count != 1) {
 134                 talloc_free(res);
 135                 return LDB_ERR_OPERATIONS_ERROR;
 136         }
 137
 138         str = ldb_msg_find_attr_as_string(res->msgs[0], "nextRid", NULL);
 139         if (str == NULL) {
 140                 ldb_asprintf_errstring(module->ldb,
 141                                         "attribute nextRid not found in %s\n",
 142                                         ldb_dn_linearize(res, dn));
 143                 talloc_free(res);
 144                 return LDB_ERR_OPERATIONS_ERROR;
 145         }
 146
 147         *old_rid = strtol(str, NULL, 0);
 148         talloc_free(res);
 149         return LDB_SUCCESS;
 150 }
 151
 152 static int samldb_allocate_next_rid(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 153                                     struct ldb_dn *dn, const struct dom_sid *dom_sid,
 154                                     struct dom_sid **new_sid)
 155 {
 156         struct dom_sid *obj_sid;
 157         uint32_t old_rid;
 158         int ret;
 159
 160         ret = samldb_find_next_rid(module, mem_ctx, dn, &old_rid);
 161         if (ret) {
 162                 return ret;
 163         }
 164
 165         /* return the new object sid */
 166         obj_sid = dom_sid_add_rid(mem_ctx, dom_sid, old_rid);
 167
 168         *new_sid = dom_sid_add_rid(mem_ctx, dom_sid, old_rid + 1);
 169         if (!*new_sid) {
 170                 return LDB_ERR_OPERATIONS_ERROR;
 171         }
 172
 173         ret = samldb_notice_sid(module, mem_ctx, *new_sid);
 174         if (ret != 0) {
 175                 /* gah, there are conflicting sids.
 176                  * This is a critical situation it means that someone messed up with
 177                  * the DB and nextRid is not returning free RIDs, report an error
 178                  * and refuse to create any user until the problem is fixed */
 179                 ldb_asprintf_errstring(module->ldb,
 180                                         "Critical Error: unconsistent DB, unable to retireve an unique RID to generate a new SID: %s",
 181                                         ldb_errstring(module->ldb));
 182                 return ret;
 183         }
 184         return ret;
 185 }
 186
 187 /* Find a domain object in the parents of a particular DN.  */
 188 static struct ldb_dn *samldb_search_domain(struct ldb_module *module, TALLOC_CTX *mem_ctx, struct ldb_dn *dn)
 189 {
 190         TALLOC_CTX *local_ctx;
 191         struct ldb_dn *sdn;
 192         struct ldb_result *res = NULL;
 193         int ret = 0;
 194         const char *attrs[] = { NULL };
 195
 196         local_ctx = talloc_new(mem_ctx);
 197         if (local_ctx == NULL) return NULL;
 198
 199         sdn = ldb_dn_copy(local_ctx, dn);
 200         do {
 201                 ret = ldb_search(module->ldb, sdn, LDB_SCOPE_BASE,
 202                                  "(|(objectClass=domain)(objectClass=builtinDomain))", attrs, &res);
 203                 if (ret == LDB_SUCCESS) {
 204                         talloc_steal(local_ctx, res);
 205                         if (res->count == 1) {
 206                                 break;
 207                         }
 208                 }
 209         } while ((sdn = ldb_dn_get_parent(local_ctx, sdn)));
 210
 211         if (ret != LDB_SUCCESS || res->count != 1) {
 212                 talloc_free(local_ctx);
 213                 return NULL;
 214         }
 215
 216         talloc_steal(mem_ctx, sdn);
 217         talloc_free(local_ctx);
 218
 219         return sdn;
 220 }
 221
 222 /* search the domain related to the provided dn
 223    allocate a new RID for the domain
 224    return the new sid string
 225 */
 226 static int samldb_get_new_sid(struct ldb_module *module,
 227                               TALLOC_CTX *mem_ctx, struct ldb_dn *obj_dn,
 228                               struct dom_sid **sid)
 229 {
 230         const char * const attrs[2] = { "objectSid", NULL };
 231         struct ldb_result *res = NULL;
 232         struct ldb_dn *dom_dn;
 233         int ret;
 234         struct dom_sid *dom_sid;
 235
 236         /* get the domain component part of the provided dn */
 237
 238         dom_dn = samldb_search_domain(module, mem_ctx, obj_dn);
 239         if (dom_dn == NULL) {
 240                 ldb_asprintf_errstring(module->ldb,
 241                                         "Invalid dn (%s) not child of a domain object!\n",
 242                                         ldb_dn_linearize(mem_ctx, obj_dn));
 243                 return LDB_ERR_CONSTRAINT_VIOLATION;
 244         }
 245
 246         /* find the domain sid */
 247
 248         ret = ldb_search(module->ldb, dom_dn, LDB_SCOPE_BASE, "objectSid=*", attrs, &res);
 249         if (ret != LDB_SUCCESS) {
 250                 ldb_asprintf_errstring(module->ldb,
 251                                         "samldb_get_new_sid: error retrieving domain sid from %s: %s!\n",
 252                                         ldb_dn_linearize(mem_ctx, dom_dn),
 253                                         ldb_errstring(module->ldb));
 254                 talloc_free(res);
 255                 return ret;
 256         }
 257
 258         if (res->count != 1) {
 259                 ldb_asprintf_errstring(module->ldb,
 260                                         "samldb_get_new_sid: error retrieving domain sid from %s: not found!\n",
 261                                         ldb_dn_linearize(mem_ctx, dom_dn));
 262                 talloc_free(res);
 263                 return LDB_ERR_CONSTRAINT_VIOLATION;
 264         }
 265
 266         dom_sid = samdb_result_dom_sid(res, res->msgs[0], "objectSid");
 267         if (dom_sid == NULL) {
 268                 ldb_set_errstring(module->ldb, "samldb_get_new_sid: error parsing domain sid!\n");
 269                 talloc_free(res);
 270                 return LDB_ERR_CONSTRAINT_VIOLATION;
 271         }
 272
 273         /* allocate a new Rid for the domain */
 274         ret = samldb_allocate_next_rid(module, mem_ctx, dom_dn, dom_sid, sid);
 275         if (ret != 0) {
 276                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "Failed to increment nextRid of %s: %s\n", ldb_dn_linearize(mem_ctx, dom_dn), ldb_errstring(module->ldb));
 277                 talloc_free(res);
 278                 return ret;
 279         }
 280
 281         talloc_free(res);
 282
 283         return ret;
 284 }
 285
 286 /* If we are adding new users/groups, we need to update the nextRid
 287  * attribute to be 'above' all incoming users RIDs.  This tries to
 288  * avoid clashes in future */
 289
 290 int samldb_notice_sid(struct ldb_module *module,
 291                       TALLOC_CTX *mem_ctx, const struct dom_sid *sid)
 292 {
 293         int ret;
 294         struct ldb_dn *dom_dn;
 295         struct dom_sid *dom_sid;
 296         const char *attrs[] = { NULL };
 297         struct ldb_result *dom_res;
 298         struct ldb_result *res;
 299         uint32_t old_rid;
 300         char *filter;
 301
 302         /* find if this SID already exists */
 303
 304         filter = talloc_asprintf(mem_ctx, "(objectSid=%s)",
 305                                  ldap_encode_ndr_dom_sid(mem_ctx, sid));
 306
 307         ret = ldb_search(module->ldb, NULL, LDB_SCOPE_SUBTREE, filter, attrs, &res);
 308         if (ret == LDB_SUCCESS) {
 309                 if (res->count > 0) {
 310                         talloc_free(res);
 311                         ldb_asprintf_errstring(module->ldb,
 312                                                 "Attempt to add record with SID %s rejected,"
 313                                                 " because this SID is already in the database",
 314                                                 dom_sid_string(mem_ctx, sid));
 315                         /* We have a duplicate SID, we must reject the add */
 316                         return LDB_ERR_CONSTRAINT_VIOLATION;
 317                 }
 318                 talloc_free(res);
 319         } else {
 320                 ldb_asprintf_errstring(module->ldb,
 321                                         "samldb_notice_sid: error searching to see if sid %s is in use: %s\n",
 322                                         dom_sid_string(mem_ctx, sid),
 323                                         ldb_errstring(module->ldb));
 324                 return ret;
 325         }
 326
 327         dom_sid = dom_sid_dup(mem_ctx, sid);
 328         if (!dom_sid) {
 329                 return LDB_ERR_OPERATIONS_ERROR;
 330         }
 331         /* get the domain component part of the provided SID */
 332         dom_sid->num_auths--;
 333
 334         /* find the domain DN */
 335
 336         filter = talloc_asprintf(mem_ctx, "(&(objectSid=%s)(objectclass=domain))",
 337                                  ldap_encode_ndr_dom_sid(mem_ctx, dom_sid));
 338
 339         ret = ldb_search(module->ldb, NULL, LDB_SCOPE_SUBTREE, filter, attrs, &dom_res);
 340         if (ret == LDB_SUCCESS) {
 341                 talloc_steal(mem_ctx, dom_res);
 342                 if (dom_res->count == 0) {
 343                         talloc_free(dom_res);
 344                         /* This isn't an operation on a domain we know about, so nothing to update */
 345                         return LDB_SUCCESS;
 346                 }
 347
 348                 if (dom_res->count > 1) {
 349                         talloc_free(dom_res);
 350                         ldb_asprintf_errstring(module->ldb,
 351                                         "samldb_notice_sid: error retrieving domain from sid: duplicate (found %d) domain: %s!\n",
 352                                         dom_res->count, dom_sid_string(dom_res, dom_sid));
 353                         return LDB_ERR_OPERATIONS_ERROR;
 354                 }
 355         } else {
 356                 ldb_asprintf_errstring(module->ldb,
 357                                         "samldb_notice_sid: error retrieving domain from sid: %s: %s\n",
 358                                         dom_sid_string(dom_res, dom_sid),
 359                                         ldb_errstring(module->ldb));
 360                 return ret;
 361         }
 362
 363         dom_dn = dom_res->msgs[0]->dn;
 364
 365         ret = samldb_find_next_rid(module, mem_ctx,
 366                                    dom_dn, &old_rid);
 367         if (ret) {
 368                 talloc_free(dom_res);
 369                 return ret;
 370         }
 371
 372         if (old_rid <= sid->sub_auths[sid->num_auths - 1]) {
 373                 ret = samldb_set_next_rid(module->ldb, mem_ctx, dom_dn, old_rid,
 374                                           sid->sub_auths[sid->num_auths - 1] + 1);
 375         }
 376         talloc_free(dom_res);
 377         return ret;
 378 }
 379
 380 static int samldb_handle_sid(struct ldb_module *module,
 381                                          TALLOC_CTX *mem_ctx, struct ldb_message *msg2)
 382 {
 383         int ret;
 384
 385         struct dom_sid *sid = samdb_result_dom_sid(mem_ctx, msg2, "objectSid");
 386         if (sid == NULL) {
 387                 ret = samldb_get_new_sid(module, msg2, msg2->dn, &sid);
 388                 if (ret != 0) {
 389                         return ret;
 390                 }
 391
 392                 if ( ! samldb_msg_add_sid(module, msg2, "objectSid", sid)) {
 393                         talloc_free(sid);
 394                         return LDB_ERR_OPERATIONS_ERROR;
 395                 }
 396                 talloc_free(sid);
 397                 ret = LDB_SUCCESS;
 398         } else {
 399                 ret = samldb_notice_sid(module, msg2, sid);
 400         }
 401         return ret;
 402 }
 403
 404 static char *samldb_generate_samAccountName(struct ldb_module *module, TALLOC_CTX *mem_ctx)
 405 {
 406         char *name;
 407         const char *attrs[] = { NULL };
 408         struct ldb_message **msgs;
 409         int ret;
 410
 411         /* Format: $000000-000000000000 */
 412
 413         do {
 414                 name = talloc_asprintf(mem_ctx, "$%.6X-%.6X%.6X", (unsigned int)random(), (unsigned int)random(), (unsigned int)random());
 415                 /* TODO: Figure out exactly what this is meant to conflict with */
 416                 ret = gendb_search(module->ldb,
 417                                    mem_ctx, NULL, &msgs, attrs,
 418                                    "samAccountName=%s",
 419                                    ldb_binary_encode_string(mem_ctx, name));
 420                 if (ret == 0) {
 421                         /* Great. There are no conflicting users/groups/etc */
 422                         return name;
 423                 } else if (ret == -1) {
 424                         /* Bugger, there is a problem, and we don't know what it is until gendb_search improves */
 425                         return NULL;
 426                 } else {
 427                         talloc_free(name);
 428                         /* gah, there are conflicting sids, lets move around the loop again... */
 429                 }
 430         } while (1);
 431 }
 432
 433 static int samldb_fill_group_object(struct ldb_module *module, const struct ldb_message *msg,
 434                                                     struct ldb_message **ret_msg)
 435 {
 436         int ret;
 437         const char *name;
 438         struct ldb_message *msg2;
 439         const char *rdn_name;
 440         TALLOC_CTX *mem_ctx = talloc_new(msg);
 441         const char *errstr;
 442         if (!mem_ctx) {
 443                 return LDB_ERR_OPERATIONS_ERROR;
 444         }
 445
 446         /* build the new msg */
 447         msg2 = ldb_msg_copy(mem_ctx, msg);
 448         if (!msg2) {
 449                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: ldb_msg_copy failed!\n");
 450                 talloc_free(mem_ctx);
 451                 return LDB_ERR_OPERATIONS_ERROR;
 452         }
 453
 454         ret = samdb_copy_template(module->ldb, msg2,
 455                                   "(&(CN=TemplateGroup)(objectclass=groupTemplate))",
 456                                   &errstr);
 457         if (ret != 0) {
 458
 459                 talloc_free(mem_ctx);
 460                 return ret;
 461         }
 462
 463         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 464
 465         if (strcasecmp(rdn_name, "cn") != 0) {
 466                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: Bad RDN (%s) for group!\n", rdn_name);
 467                 talloc_free(mem_ctx);
 468                 return LDB_ERR_CONSTRAINT_VIOLATION;
 469         }
 470
 471         /* Generate a random name, if no samAccountName was supplied */
 472         if (ldb_msg_find_element(msg2, "samAccountName") == NULL) {
 473                 name = samldb_generate_samAccountName(module, mem_ctx);
 474                 if (!name) {
 475                         talloc_free(mem_ctx);
 476                         return LDB_ERR_OPERATIONS_ERROR;
 477                 }
 478                 ret = samdb_find_or_add_attribute(module->ldb, msg2, "sAMAccountName", name);
 479                 if (ret) {
 480                         talloc_free(mem_ctx);
 481                         return ret;
 482                 }
 483         }
 484
 485         /* Manage SID allocation, conflicts etc */
 486         ret = samldb_handle_sid(module, mem_ctx, msg2);
 487
 488         if (ret == LDB_SUCCESS) {
 489                 talloc_steal(msg, msg2);
 490                 *ret_msg = msg2;
 491         }
 492         talloc_free(mem_ctx);
 493         return ret;
 494 }
 495
 496 static int samldb_fill_user_or_computer_object(struct ldb_module *module, const struct ldb_message *msg,
 497                                                                struct ldb_message **ret_msg)
 498 {
 499         int ret;
 500         char *name;
 501         struct ldb_message *msg2;
 502         const char *rdn_name;
 503         TALLOC_CTX *mem_ctx = talloc_new(msg);
 504         const char *errstr;
 505         if (!mem_ctx) {
 506                 return LDB_ERR_OPERATIONS_ERROR;
 507         }
 508
 509         /* build the new msg */
 510         msg2 = ldb_msg_copy(mem_ctx, msg);
 511         if (!msg2) {
 512                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: ldb_msg_copy failed!\n");
 513                 talloc_free(mem_ctx);
 514                 return LDB_ERR_OPERATIONS_ERROR;
 515         }
 516
 517         if (samdb_find_attribute(module->ldb, msg, "objectclass", "computer") != NULL) {
 518
 519                 ret = samdb_copy_template(module->ldb, msg2,
 520                                           "(&(CN=TemplateComputer)(objectclass=userTemplate))",
 521                                           &errstr);
 522                 if (ret) {
 523                         ldb_asprintf_errstring(module->ldb,
 524                                                "samldb_fill_user_or_computer_object: "
 525                                                "Error copying computer template: %s",
 526                                                errstr);
 527                         talloc_free(mem_ctx);
 528                         return ret;
 529                 }
 530
 531                 /* readd user and then computer objectclasses */
 532                 ret = samdb_find_or_add_value(module->ldb, msg2, "objectclass", "user");
 533                 if (ret) {
 534                         talloc_free(mem_ctx);
 535                         return ret;
 536                 }
 537                 ret = samdb_find_or_add_value(module->ldb, msg2, "objectclass", "computer");
 538                 if (ret) {
 539                         talloc_free(mem_ctx);
 540                         return ret;
 541                 }
 542
 543         } else {
 544                 ret = samdb_copy_template(module->ldb, msg2,
 545                                           "(&(CN=TemplateUser)(objectclass=userTemplate))",
 546                                           &errstr);
 547                 if (ret) {
 548                         ldb_asprintf_errstring(module->ldb,
 549                                                "samldb_fill_user_or_computer_object: Error copying user template: %s\n",
 550                                                errstr);
 551                         talloc_free(mem_ctx);
 552                         return ret;
 553                 }
 554                 /* readd user objectclass */
 555                 ret = samdb_find_or_add_value(module->ldb, msg2, "objectclass", "user");
 556                 if (ret) {
 557                         talloc_free(mem_ctx);
 558                         return ret;
 559                 }
 560         }
 561
 562         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 563
 564         if (strcasecmp(rdn_name, "cn") != 0) {
 565                 ldb_asprintf_errstring(module->ldb, "Bad RDN (%s=) for user/computer, should be CN=!\n", rdn_name);
 566                 talloc_free(mem_ctx);
 567                 return LDB_ERR_CONSTRAINT_VIOLATION;
 568         }
 569
 570         if (ldb_msg_find_element(msg2, "samAccountName") == NULL) {
 571                 name = samldb_generate_samAccountName(module, mem_ctx);
 572                 if (!name) {
 573                         talloc_free(mem_ctx);
 574                         return LDB_ERR_OPERATIONS_ERROR;
 575                 }
 576                 ret = samdb_find_or_add_attribute(module->ldb, msg2, "sAMAccountName", name);
 577                 if (ret) {
 578                         talloc_free(mem_ctx);
 579                         return ret;
 580                 }
 581         }
 582
 583         /*
 584           TODO: useraccountcontrol: setting value 0 gives 0x200 for users
 585         */
 586
 587         /* Manage SID allocation, conflicts etc */
 588         ret = samldb_handle_sid(module, mem_ctx, msg2);
 589
 590         /* TODO: objectCategory, userAccountControl, badPwdCount, codePage, countryCode, badPasswordTime, lastLogoff, lastLogon, pwdLastSet, primaryGroupID, accountExpires, logonCount */
 591
 592         if (ret == 0) {
 593                 *ret_msg = msg2;
 594                 talloc_steal(msg, msg2);
 595         }
 596         talloc_free(mem_ctx);
 597         return ret;
 598 }
 599
 600 static int samldb_fill_foreignSecurityPrincipal_object(struct ldb_module *module, const struct ldb_message *msg,
 601                                                        struct ldb_message **ret_msg)
 602 {
 603         struct ldb_message *msg2;
 604         const char *rdn_name;
 605         struct dom_sid *dom_sid;
 606         struct dom_sid *sid;
 607         const char *dom_attrs[] = { "name", NULL };
 608         struct ldb_message **dom_msgs;
 609         const char *errstr;
 610         int ret;
 611
 612         TALLOC_CTX *mem_ctx = talloc_new(msg);
 613         if (!mem_ctx) {
 614                 return LDB_ERR_OPERATIONS_ERROR;
 615         }
 616
 617         /* build the new msg */
 618         msg2 = ldb_msg_copy(mem_ctx, msg);
 619         if (!msg2) {
 620                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_foreignSecurityPrincpal_object: ldb_msg_copy failed!\n");
 621                 talloc_free(mem_ctx);
 622                 return LDB_ERR_OPERATIONS_ERROR;
 623         }
 624
 625         ret = samdb_copy_template(module->ldb, msg2,
 626                                   "(&(CN=TemplateForeignSecurityPrincipal)(objectclass=foreignSecurityPrincipalTemplate))",
 627                                   &errstr);
 628         if (ret != 0) {
 629                 ldb_asprintf_errstring(module->ldb,
 630                                        "samldb_fill_foreignSecurityPrincipal_object: "
 631                                        "Error copying template: %s",
 632                                     errstr);
 633                 talloc_free(mem_ctx);
 634                 return ret;
 635         }
 636
 637         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 638
 639         if (strcasecmp(rdn_name, "cn") != 0) {
 640                 ldb_asprintf_errstring(module->ldb, "Bad RDN (%s=) for ForeignSecurityPrincipal, should be CN=!", rdn_name);
 641                 talloc_free(mem_ctx);
 642                 return LDB_ERR_CONSTRAINT_VIOLATION;
 643         }
 644
 645         /* Slightly different for the foreign sids.  We don't want
 646          * domain SIDs ending up there, it would cause all sorts of
 647          * pain */
 648
 649         sid = dom_sid_parse_talloc(msg2, (const char *)ldb_dn_get_rdn_val(msg2->dn)->data);
 650         if (!sid) {
 651                 ldb_set_errstring(module->ldb, "No valid found SID in ForeignSecurityPrincipal CN!");
 652                 talloc_free(mem_ctx);
 653                 return LDB_ERR_CONSTRAINT_VIOLATION;
 654         }
 655
 656         if ( ! samldb_msg_add_sid(module, msg2, "objectSid", sid)) {
 657                 talloc_free(sid);
 658                 return LDB_ERR_OPERATIONS_ERROR;
 659         }
 660
 661         dom_sid = dom_sid_dup(mem_ctx, sid);
 662         if (!dom_sid) {
 663                 talloc_free(mem_ctx);
 664                 return LDB_ERR_OPERATIONS_ERROR;
 665         }
 666         /* get the domain component part of the provided SID */
 667         dom_sid->num_auths--;
 668
 669         /* find the domain DN */
 670
 671         ret = gendb_search(module->ldb,
 672                            mem_ctx, NULL, &dom_msgs, dom_attrs,
 673                            "(&(objectSid=%s)(objectclass=domain))",
 674                            ldap_encode_ndr_dom_sid(mem_ctx, dom_sid));
 675         if (ret >= 1) {
 676                 /* We don't really like the idea of foreign sids that are not foreign, but it happens */
 677                 const char *name = samdb_result_string(dom_msgs[0], "name", NULL);
 678                 ldb_debug(module->ldb, LDB_DEBUG_TRACE, "NOTE (strange but valid): Adding foreign SID record with SID %s, but this domian (%s) is already in the database",
 679                           dom_sid_string(mem_ctx, sid), name);
 680         } else if (ret == -1) {
 681                 ldb_asprintf_errstring(module->ldb,
 682                                         "samldb_fill_foreignSecurityPrincipal_object: error searching for a domain with this sid: %s\n",
 683                                         dom_sid_string(mem_ctx, dom_sid));
 684                 talloc_free(dom_msgs);
 685                 return LDB_ERR_OPERATIONS_ERROR;
 686         }
 687
 688         /* This isn't an operation on a domain we know about, so just
 689          * check for the SID, looking for duplicates via the common
 690          * code */
 691         ret = samldb_notice_sid(module, msg2, sid);
 692         if (ret == 0) {
 693                 talloc_steal(msg, msg2);
 694                 *ret_msg = msg2;
 695         }
 696
 697         return ret;
 698 }
 699
 700 /* add_record */
 701
 702 /*
 703  * FIXME
 704  *
 705  * Actually this module is not async at all as it does a number of sync searches
 706  * in the process. It still to be decided how to deal with it properly so it is
 707  * left SYNC for now until we think of a good solution.
 708  */
 709
 710 static int samldb_add(struct ldb_module *module, struct ldb_request *req)
 711 {
 712         const struct ldb_message *msg = req->op.add.message;
 713         struct ldb_message *msg2 = NULL;
 714         struct ldb_request *down_req;
 715         int ret;
 716
 717         ldb_debug(module->ldb, LDB_DEBUG_TRACE, "samldb_add_record\n");
 718
 719         if (ldb_dn_is_special(msg->dn)) { /* do not manipulate our control entries */
 720                 return ldb_next_request(module, req);
 721         }
 722
 723         /* is user or computer? */
 724         if ((samdb_find_attribute(module->ldb, msg, "objectclass", "user") != NULL) ||
 725             (samdb_find_attribute(module->ldb, msg, "objectclass", "computer") != NULL)) {
 726                 /*  add all relevant missing objects */
 727                 ret = samldb_fill_user_or_computer_object(module, msg, &msg2);
 728                 if (ret) {
 729                         return ret;
 730                 }
 731         }
 732
 733         /* is group? add all relevant missing objects */
 734         if ( ! msg2 ) {
 735                 if (samdb_find_attribute(module->ldb, msg, "objectclass", "group") != NULL) {
 736                         ret = samldb_fill_group_object(module, msg, &msg2);
 737                         if (ret) {
 738                                 return ret;
 739                         }
 740                 }
 741         }
 742
 743         /* perhaps a foreignSecurityPrincipal? */
 744         if ( ! msg2 ) {
 745                 if (samdb_find_attribute(module->ldb, msg, "objectclass", "foreignSecurityPrincipal") != NULL) {
 746                         ret = samldb_fill_foreignSecurityPrincipal_object(module, msg, &msg2);
 747                         if (ret) {
 748                                 return ret;
 749                         }
 750                 }
 751         }
 752
 753         if (msg2 == NULL) {
 754                 return ldb_next_request(module, req);
 755         }
 756
 757         down_req = talloc(req, struct ldb_request);
 758         if (down_req == NULL) {
 759                 return LDB_ERR_OPERATIONS_ERROR;
 760         }
 761
 762         *down_req = *req;
 763
 764         down_req->op.add.message = talloc_steal(down_req, msg2);
 765
 766         ldb_set_timeout_from_prev_req(module->ldb, req, down_req);
 767
 768         /* go on with the call chain */
 769         ret = ldb_next_request(module, down_req);
 770
 771         /* do not free down_req as the call results may be linked to it,
 772          * it will be freed when the upper level request get freed */
 773         if (ret == LDB_SUCCESS) {
 774                 req->handle = down_req->handle;
 775         }
 776
 777         return ret;
 778 }
 779
 780 static int samldb_init(struct ldb_module *module)
 781 {
 782         return ldb_next_init(module);
 783 }
 784
 785 static const struct ldb_module_ops samldb_ops = {
 786         .name          = "samldb",
 787         .init_context  = samldb_init,
 788         .add           = samldb_add,
 789 };
 790
 791
 792 int samldb_module_init(void)
 793 {
 794         return ldb_register_module(&samldb_ops);
 795 }