source4/dsdb/samdb/ldb_modules/samldb.c

   1 /*
   2    SAM ldb module
   3
   4    Copyright (C) Simo Sorce  2004
   5    Copyright (C) Andrew Bartlett <abartlet@samba.org> 2005
   6
   7    * NOTICE: this module is NOT released under the GNU LGPL license as
   8    * other ldb code. This module is release under the GNU GPL v3 or
   9    * later license.
  10
  11    This program is free software; you can redistribute it and/or modify
  12    it under the terms of the GNU General Public License as published by
  13    the Free Software Foundation; either version 3 of the License, or
  14    (at your option) any later version.
  15
  16    This program is distributed in the hope that it will be useful,
  17    but WITHOUT ANY WARRANTY; without even the implied warranty of
  18    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  19    GNU General Public License for more details.
  20
  21    You should have received a copy of the GNU General Public License
  22    along with this program.  If not, see <http://www.gnu.org/licenses/>.
  23 */
  24
  25 /*
  26  *  Name: ldb
  27  *
  28  *  Component: ldb samldb module
  29  *
  30  *  Description: add embedded user/group creation functionality
  31  *
  32  *  Author: Simo Sorce
  33  */
  34
  35 #include "includes.h"
  36 #include "libcli/ldap/ldap_ndr.h"
  37 #include "lib/ldb/include/ldb_errors.h"
  38 #include "lib/ldb/include/ldb.h"
  39 #include "lib/ldb/include/ldb_private.h"
  40 #include "dsdb/samdb/samdb.h"
  41 #include "libcli/security/security.h"
  42 #include "librpc/gen_ndr/ndr_security.h"
  43 #include "util/util_ldb.h"
  44
  45 int samldb_notice_sid(struct ldb_module *module,
  46                       TALLOC_CTX *mem_ctx, const struct dom_sid *sid);
  47
  48 static bool samldb_msg_add_sid(struct ldb_module *module, struct ldb_message *msg, const char *name, const struct dom_sid *sid)
  49 {
  50         struct ldb_val v;
  51         enum ndr_err_code ndr_err;
  52
  53         ndr_err = ndr_push_struct_blob(&v, msg, NULL, sid,
  54                                        (ndr_push_flags_fn_t)ndr_push_dom_sid);
  55         if (!NDR_ERR_CODE_IS_SUCCESS(ndr_err)) {
  56                 return false;
  57         }
  58         return (ldb_msg_add_value(msg, name, &v, NULL) == 0);
  59 }
  60
  61 /*
  62   allocate a new id, attempting to do it atomically
  63   return 0 on failure, the id on success
  64 */
  65 static int samldb_set_next_rid(struct ldb_context *ldb, TALLOC_CTX *mem_ctx,
  66                                struct ldb_dn *dn, uint32_t old_id, uint32_t new_id)
  67 {
  68         struct ldb_message msg;
  69         int ret;
  70         struct ldb_val vals[2];
  71         struct ldb_message_element els[2];
  72
  73         if (new_id == 0) {
  74                 /* out of IDs ! */
  75                 ldb_set_errstring(ldb, "Are we out of valid IDs ?\n");
  76                 return LDB_ERR_OPERATIONS_ERROR;
  77         }
  78
  79         /* we do a delete and add as a single operation. That prevents
  80            a race, in case we are not actually on a transaction db */
  81         ZERO_STRUCT(msg);
  82         msg.dn = ldb_dn_copy(mem_ctx, dn);
  83         if (!msg.dn) {
  84                 ldb_oom(ldb);
  85                 return LDB_ERR_OPERATIONS_ERROR;
  86         }
  87         msg.num_elements = 2;
  88         msg.elements = els;
  89
  90         els[0].num_values = 1;
  91         els[0].values = &vals[0];
  92         els[0].flags = LDB_FLAG_MOD_DELETE;
  93         els[0].name = talloc_strdup(mem_ctx, "nextRid");
  94         if (!els[0].name) {
  95                 ldb_oom(ldb);
  96                 return LDB_ERR_OPERATIONS_ERROR;
  97         }
  98
  99         els[1].num_values = 1;
 100         els[1].values = &vals[1];
 101         els[1].flags = LDB_FLAG_MOD_ADD;
 102         els[1].name = els[0].name;
 103
 104         vals[0].data = (uint8_t *)talloc_asprintf(mem_ctx, "%u", old_id);
 105         if (!vals[0].data) {
 106                 ldb_oom(ldb);
 107                 return LDB_ERR_OPERATIONS_ERROR;
 108         }
 109         vals[0].length = strlen((char *)vals[0].data);
 110
 111         vals[1].data = (uint8_t *)talloc_asprintf(mem_ctx, "%u", new_id);
 112         if (!vals[1].data) {
 113                 ldb_oom(ldb);
 114                 return LDB_ERR_OPERATIONS_ERROR;
 115         }
 116         vals[1].length = strlen((char *)vals[1].data);
 117
 118         ret = ldb_modify(ldb, &msg);
 119         return ret;
 120 }
 121
 122 /*
 123   allocate a new id, attempting to do it atomically
 124   return 0 on failure, the id on success
 125 */
 126 static int samldb_find_next_rid(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 127                                 struct ldb_dn *dn, uint32_t *old_rid)
 128 {
 129         const char * const attrs[2] = { "nextRid", NULL };
 130         struct ldb_result *res = NULL;
 131         int ret;
 132         const char *str;
 133
 134         ret = ldb_search(module->ldb, dn, LDB_SCOPE_BASE, "nextRid=*", attrs, &res);
 135         if (ret != LDB_SUCCESS) {
 136                 return ret;
 137         }
 138         if (res->count != 1) {
 139                 talloc_free(res);
 140                 return LDB_ERR_OPERATIONS_ERROR;
 141         }
 142
 143         str = ldb_msg_find_attr_as_string(res->msgs[0], "nextRid", NULL);
 144         if (str == NULL) {
 145                 ldb_asprintf_errstring(module->ldb,
 146                                         "attribute nextRid not found in %s\n",
 147                                         ldb_dn_get_linearized(dn));
 148                 talloc_free(res);
 149                 return LDB_ERR_OPERATIONS_ERROR;
 150         }
 151
 152         *old_rid = strtol(str, NULL, 0);
 153         talloc_free(res);
 154         return LDB_SUCCESS;
 155 }
 156
 157 static int samldb_allocate_next_rid(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 158                                     struct ldb_dn *dn, const struct dom_sid *dom_sid,
 159                                     struct dom_sid **new_sid)
 160 {
 161         struct dom_sid *obj_sid;
 162         uint32_t old_rid;
 163         int ret;
 164
 165         ret = samldb_find_next_rid(module, mem_ctx, dn, &old_rid);
 166         if (ret) {
 167                 return ret;
 168         }
 169
 170         /* return the new object sid */
 171         obj_sid = dom_sid_add_rid(mem_ctx, dom_sid, old_rid);
 172
 173         *new_sid = dom_sid_add_rid(mem_ctx, dom_sid, old_rid + 1);
 174         if (!*new_sid) {
 175                 return LDB_ERR_OPERATIONS_ERROR;
 176         }
 177
 178         ret = samldb_notice_sid(module, mem_ctx, *new_sid);
 179         if (ret != 0) {
 180                 /* gah, there are conflicting sids.
 181                  * This is a critical situation it means that someone messed up with
 182                  * the DB and nextRid is not returning free RIDs, report an error
 183                  * and refuse to create any user until the problem is fixed */
 184                 ldb_asprintf_errstring(module->ldb,
 185                                         "Critical Error: unconsistent DB, unable to retireve an unique RID to generate a new SID: %s",
 186                                         ldb_errstring(module->ldb));
 187                 return ret;
 188         }
 189         return ret;
 190 }
 191
 192 /* search the domain related to the provided dn
 193    allocate a new RID for the domain
 194    return the new sid string
 195 */
 196 static int samldb_get_new_sid(struct ldb_module *module,
 197                               TALLOC_CTX *mem_ctx, struct ldb_dn *obj_dn,
 198                               struct ldb_dn *dom_dn,
 199                               struct dom_sid **sid)
 200 {
 201         const char * const attrs[2] = { "objectSid", NULL };
 202         struct ldb_result *res = NULL;
 203         int ret;
 204         struct dom_sid *dom_sid;
 205
 206         /* get the domain component part of the provided dn */
 207
 208         /* find the domain sid */
 209
 210         ret = ldb_search(module->ldb, dom_dn, LDB_SCOPE_BASE, "objectSid=*", attrs, &res);
 211         if (ret != LDB_SUCCESS) {
 212                 ldb_asprintf_errstring(module->ldb,
 213                                         "samldb_get_new_sid: error retrieving domain sid from %s: %s!\n",
 214                                         ldb_dn_get_linearized(dom_dn),
 215                                         ldb_errstring(module->ldb));
 216                 talloc_free(res);
 217                 return ret;
 218         }
 219
 220         if (res->count != 1) {
 221                 ldb_asprintf_errstring(module->ldb,
 222                                         "samldb_get_new_sid: error retrieving domain sid from %s: not found!\n",
 223                                         ldb_dn_get_linearized(dom_dn));
 224                 talloc_free(res);
 225                 return LDB_ERR_CONSTRAINT_VIOLATION;
 226         }
 227
 228         dom_sid = samdb_result_dom_sid(res, res->msgs[0], "objectSid");
 229         if (dom_sid == NULL) {
 230                 ldb_set_errstring(module->ldb, "samldb_get_new_sid: error parsing domain sid!\n");
 231                 talloc_free(res);
 232                 return LDB_ERR_CONSTRAINT_VIOLATION;
 233         }
 234
 235         /* allocate a new Rid for the domain */
 236         ret = samldb_allocate_next_rid(module, mem_ctx, dom_dn, dom_sid, sid);
 237         if (ret != 0) {
 238                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "Failed to increment nextRid of %s: %s\n", ldb_dn_get_linearized(dom_dn), ldb_errstring(module->ldb));
 239                 talloc_free(res);
 240                 return ret;
 241         }
 242
 243         talloc_free(res);
 244
 245         return ret;
 246 }
 247
 248 /* If we are adding new users/groups, we need to update the nextRid
 249  * attribute to be 'above' all incoming users RIDs.  This tries to
 250  * avoid clashes in future */
 251
 252 int samldb_notice_sid(struct ldb_module *module,
 253                       TALLOC_CTX *mem_ctx, const struct dom_sid *sid)
 254 {
 255         int ret;
 256         struct ldb_dn *dom_dn;
 257         struct dom_sid *dom_sid;
 258         const char *attrs[] = { NULL };
 259         struct ldb_result *dom_res;
 260         struct ldb_result *res;
 261         uint32_t old_rid;
 262
 263         /* find if this SID already exists */
 264         ret = ldb_search_exp_fmt(module->ldb, mem_ctx, &res,
 265                                  NULL, LDB_SCOPE_SUBTREE, attrs,
 266                                  "(objectSid=%s)", ldap_encode_ndr_dom_sid(mem_ctx, sid));
 267         if (ret == LDB_SUCCESS) {
 268                 if (res->count > 0) {
 269                         talloc_free(res);
 270                         ldb_asprintf_errstring(module->ldb,
 271                                                 "Attempt to add record with SID %s rejected,"
 272                                                 " because this SID is already in the database",
 273                                                 dom_sid_string(mem_ctx, sid));
 274                         /* We have a duplicate SID, we must reject the add */
 275                         return LDB_ERR_CONSTRAINT_VIOLATION;
 276                 }
 277                 talloc_free(res);
 278         } else {
 279                 ldb_asprintf_errstring(module->ldb,
 280                                         "samldb_notice_sid: error searching to see if sid %s is in use: %s\n",
 281                                         dom_sid_string(mem_ctx, sid),
 282                                         ldb_errstring(module->ldb));
 283                 return ret;
 284         }
 285
 286         dom_sid = dom_sid_dup(mem_ctx, sid);
 287         if (!dom_sid) {
 288                 return LDB_ERR_OPERATIONS_ERROR;
 289         }
 290         /* get the domain component part of the provided SID */
 291         dom_sid->num_auths--;
 292
 293         /* find the domain DN */
 294         ret = ldb_search_exp_fmt(module->ldb, mem_ctx, &dom_res,
 295                                  NULL, LDB_SCOPE_SUBTREE, attrs,
 296                                  "(&(objectSid=%s)(|(|(objectClass=domain)(objectClass=builtinDomain))(objectClass=samba4LocalDomain)))",
 297                                  ldap_encode_ndr_dom_sid(mem_ctx, dom_sid));
 298         if (ret == LDB_SUCCESS) {
 299                 if (dom_res->count == 0) {
 300                         talloc_free(dom_res);
 301                         /* This isn't an operation on a domain we know about, so nothing to update */
 302                         return LDB_SUCCESS;
 303                 }
 304
 305                 if (dom_res->count > 1) {
 306                         talloc_free(dom_res);
 307                         ldb_asprintf_errstring(module->ldb,
 308                                         "samldb_notice_sid: error retrieving domain from sid: duplicate (found %d) domain: %s!\n",
 309                                         dom_res->count, dom_sid_string(dom_res, dom_sid));
 310                         return LDB_ERR_OPERATIONS_ERROR;
 311                 }
 312         } else {
 313                 ldb_asprintf_errstring(module->ldb,
 314                                         "samldb_notice_sid: error retrieving domain from sid: %s: %s\n",
 315                                         dom_sid_string(dom_res, dom_sid),
 316                                         ldb_errstring(module->ldb));
 317                 return ret;
 318         }
 319
 320         dom_dn = dom_res->msgs[0]->dn;
 321
 322         ret = samldb_find_next_rid(module, mem_ctx,
 323                                    dom_dn, &old_rid);
 324         if (ret) {
 325                 talloc_free(dom_res);
 326                 return ret;
 327         }
 328
 329         if (old_rid <= sid->sub_auths[sid->num_auths - 1]) {
 330                 ret = samldb_set_next_rid(module->ldb, mem_ctx, dom_dn, old_rid,
 331                                           sid->sub_auths[sid->num_auths - 1] + 1);
 332         }
 333         talloc_free(dom_res);
 334         return ret;
 335 }
 336
 337 static int samldb_handle_sid(struct ldb_module *module,
 338                              TALLOC_CTX *mem_ctx, struct ldb_message *msg2,
 339                              struct ldb_dn *parent_dn)
 340 {
 341         int ret;
 342
 343         struct dom_sid *sid = samdb_result_dom_sid(mem_ctx, msg2, "objectSid");
 344         if (sid == NULL) {
 345                 ret = samldb_get_new_sid(module, msg2, msg2->dn, parent_dn, &sid);
 346                 if (ret != 0) {
 347                         return ret;
 348                 }
 349
 350                 if ( ! samldb_msg_add_sid(module, msg2, "objectSid", sid)) {
 351                         talloc_free(sid);
 352                         return LDB_ERR_OPERATIONS_ERROR;
 353                 }
 354                 talloc_free(sid);
 355                 ret = LDB_SUCCESS;
 356         } else {
 357                 ret = samldb_notice_sid(module, msg2, sid);
 358         }
 359         return ret;
 360 }
 361
 362 static int samldb_generate_samAccountName(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 363                                           struct ldb_dn *dom_dn, char **name)
 364 {
 365         const char *attrs[] = { NULL };
 366         struct ldb_result *res;
 367         int ret;
 368
 369         /* Format: $000000-000000000000 */
 370
 371         do {
 372                 *name = talloc_asprintf(mem_ctx, "$%.6X-%.6X%.6X", (unsigned int)generate_random(), (unsigned int)generate_random(), (unsigned int)generate_random());
 373                 /* TODO: Figure out exactly what this is meant to conflict with */
 374                 ret = ldb_search_exp_fmt(module->ldb,
 375                                          mem_ctx, &res, dom_dn, LDB_SCOPE_SUBTREE, attrs,
 376                                          "samAccountName=%s",
 377                                          ldb_binary_encode_string(mem_ctx, *name));
 378                 if (ret != LDB_SUCCESS) {
 379                         ldb_asprintf_errstring(module->ldb, "samldb: Failure searching to determine if samAccountName %s is unique: %s",
 380                                                *name, ldb_errstring(module->ldb));
 381                         return ret;
 382                 }
 383
 384                 if (res->count == 0) {
 385                         talloc_free(res);
 386                         /* Great. There are no conflicting users/groups/etc */
 387                         return LDB_SUCCESS;
 388                 } else {
 389                         talloc_free(*name);
 390                         /* gah, there is a conflicting name, lets move around the loop again... */
 391                 }
 392         } while (1);
 393 }
 394
 395 static int samldb_fill_group_object(struct ldb_module *module, const struct ldb_message *msg,
 396                                                     struct ldb_message **ret_msg)
 397 {
 398         int ret;
 399         unsigned int group_type;
 400         char *name;
 401         struct ldb_message *msg2;
 402         struct ldb_dn *dom_dn;
 403         const char *rdn_name;
 404         TALLOC_CTX *mem_ctx = talloc_new(msg);
 405         const char *errstr;
 406         if (!mem_ctx) {
 407                 return LDB_ERR_OPERATIONS_ERROR;
 408         }
 409
 410         /* build the new msg */
 411         msg2 = ldb_msg_copy(mem_ctx, msg);
 412         if (!msg2) {
 413                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: ldb_msg_copy failed!\n");
 414                 talloc_free(mem_ctx);
 415                 return LDB_ERR_OPERATIONS_ERROR;
 416         }
 417
 418         ret = samdb_copy_template(module->ldb, msg2,
 419                                   "group",
 420                                   &errstr);
 421         if (ret != 0) {
 422
 423                 talloc_free(mem_ctx);
 424                 return ret;
 425         }
 426
 427         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 428
 429         if (strcasecmp(rdn_name, "cn") != 0) {
 430                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: Bad RDN (%s) for group!\n", rdn_name);
 431                 talloc_free(mem_ctx);
 432                 return LDB_ERR_CONSTRAINT_VIOLATION;
 433         }
 434
 435         ret = samdb_search_for_parent_domain(module->ldb, mem_ctx, msg2->dn, &dom_dn, &errstr);
 436         if (ret != LDB_SUCCESS) {
 437                 ldb_asprintf_errstring(module->ldb,
 438                                        "samldb_fill_group_object: %s", errstr);
 439                 return ret;
 440         }
 441
 442         /* Generate a random name, if no samAccountName was supplied */
 443         if (ldb_msg_find_element(msg2, "samAccountName") == NULL) {
 444                 ret = samldb_generate_samAccountName(module, mem_ctx, dom_dn, &name);
 445                 if (ret != LDB_SUCCESS) {
 446                         talloc_free(mem_ctx);
 447                         return ret;
 448                 }
 449                 ret = samdb_find_or_add_attribute(module->ldb, msg2, "sAMAccountName", name);
 450                 if (ret) {
 451                         talloc_free(mem_ctx);
 452                         return ret;
 453                 }
 454         }
 455
 456         if (ldb_msg_find_element(msg2, "sAMAccountType") != NULL) {
 457                 ldb_asprintf_errstring(module->ldb, "sAMAccountType must not be specified");
 458                 talloc_free(mem_ctx);
 459                 return LDB_ERR_UNWILLING_TO_PERFORM;
 460         }
 461         group_type = samdb_result_uint(msg2, "groupType", 0);
 462         if (group_type == 0) {
 463                 ldb_asprintf_errstring(module->ldb, "groupType invalid");
 464                 talloc_free(mem_ctx);
 465                 return LDB_ERR_UNWILLING_TO_PERFORM;
 466         } else {
 467                 unsigned int account_type = samdb_gtype2atype(group_type);
 468                 ret = samdb_msg_add_uint(module->ldb, msg2, msg2,
 469                                          "sAMAccountType",
 470                                          account_type);
 471                 if (ret != LDB_SUCCESS) {
 472                         return ret;
 473                 }
 474         }
 475
 476         /* Manage SID allocation, conflicts etc */
 477         ret = samldb_handle_sid(module, mem_ctx, msg2, dom_dn);
 478
 479         if (ret == LDB_SUCCESS) {
 480                 talloc_steal(msg, msg2);
 481                 *ret_msg = msg2;
 482         }
 483         talloc_free(mem_ctx);
 484         return ret;
 485 }
 486
 487 static int samldb_fill_user_or_computer_object(struct ldb_module *module, const struct ldb_message *msg, struct ldb_message **ret_msg)
 488 {
 489         int ret;
 490         char *name;
 491         struct ldb_message *msg2;
 492         struct ldb_dn *dom_dn;
 493         const char *rdn_name;
 494         TALLOC_CTX *mem_ctx = talloc_new(msg);
 495         const char *errstr;
 496         unsigned int user_account_control;
 497         if (!mem_ctx) {
 498                 return LDB_ERR_OPERATIONS_ERROR;
 499         }
 500
 501         /* build the new msg */
 502         msg2 = ldb_msg_copy(mem_ctx, msg);
 503         if (!msg2) {
 504                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_user_or_computer_object: ldb_msg_copy failed!\n");
 505                 talloc_free(mem_ctx);
 506                 return LDB_ERR_OPERATIONS_ERROR;
 507         }
 508
 509         ret = samdb_copy_template(module->ldb, msg2,
 510                                   "user",
 511                                   &errstr);
 512         if (ret) {
 513                 ldb_asprintf_errstring(module->ldb,
 514                                        "samldb_fill_user_or_computer_object: Error copying user template: %s\n",
 515                                        errstr);
 516                 talloc_free(mem_ctx);
 517                 return ret;
 518         }
 519
 520         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 521
 522         if (strcasecmp(rdn_name, "cn") != 0) {
 523                 ldb_asprintf_errstring(module->ldb, "Bad RDN (%s=) for user/computer, should be CN=!\n", rdn_name);
 524                 talloc_free(mem_ctx);
 525                 return LDB_ERR_CONSTRAINT_VIOLATION;
 526         }
 527
 528         ret = samdb_search_for_parent_domain(module->ldb, mem_ctx, msg2->dn, &dom_dn, &errstr);
 529         if (ret != LDB_SUCCESS) {
 530                 ldb_asprintf_errstring(module->ldb,
 531                                        "samldb_fill_user_or_computer_object: %s", errstr);
 532                 return ret;
 533         }
 534
 535         if (ldb_msg_find_element(msg2, "samAccountName") == NULL) {
 536                 ret = samldb_generate_samAccountName(module, mem_ctx, dom_dn, &name);
 537                 if (ret != LDB_SUCCESS) {
 538                         talloc_free(mem_ctx);
 539                         return ret;
 540                 }
 541                 ret = samdb_find_or_add_attribute(module->ldb, msg2, "sAMAccountName", name);
 542                 if (ret) {
 543                         talloc_free(mem_ctx);
 544                         return ret;
 545                 }
 546         }
 547
 548         if (ldb_msg_find_element(msg2, "sAMAccountType") != NULL) {
 549                 ldb_asprintf_errstring(module->ldb, "sAMAccountType must not be specified");
 550                 talloc_free(mem_ctx);
 551                 return LDB_ERR_UNWILLING_TO_PERFORM;
 552         }
 553         user_account_control = samdb_result_uint(msg2, "userAccountControl", 0);
 554         if (user_account_control == 0) {
 555                 ldb_asprintf_errstring(module->ldb, "userAccountControl invalid");
 556                 talloc_free(mem_ctx);
 557                 return LDB_ERR_UNWILLING_TO_PERFORM;
 558         } else {
 559                 unsigned int account_type = samdb_uf2atype(user_account_control);
 560                 ret = samdb_msg_add_uint(module->ldb, msg2, msg2,
 561                                          "sAMAccountType",
 562                                          account_type);
 563                 if (ret != LDB_SUCCESS) {
 564                         return ret;
 565                 }
 566         }
 567
 568         /* Manage SID allocation, conflicts etc */
 569         ret = samldb_handle_sid(module, mem_ctx, msg2, dom_dn);
 570
 571         /* TODO: userAccountControl, badPwdCount, codePage, countryCode, badPasswordTime, lastLogoff, lastLogon, pwdLastSet, primaryGroupID, accountExpires, logonCount */
 572
 573         if (ret == 0) {
 574                 *ret_msg = msg2;
 575                 talloc_steal(msg, msg2);
 576         }
 577         talloc_free(mem_ctx);
 578         return ret;
 579 }
 580
 581 static int samldb_fill_foreignSecurityPrincipal_object(struct ldb_module *module, const struct ldb_message *msg,
 582                                                        struct ldb_message **ret_msg)
 583 {
 584         struct ldb_message *msg2;
 585         const char *rdn_name;
 586         struct dom_sid *dom_sid;
 587         struct dom_sid *sid;
 588         const char *dom_attrs[] = { "name", NULL };
 589         struct ldb_message **dom_msgs;
 590         const char *errstr;
 591         int ret;
 592
 593         TALLOC_CTX *mem_ctx = talloc_new(msg);
 594         if (!mem_ctx) {
 595                 return LDB_ERR_OPERATIONS_ERROR;
 596         }
 597
 598         /* build the new msg */
 599         msg2 = ldb_msg_copy(mem_ctx, msg);
 600         if (!msg2) {
 601                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_foreignSecurityPrincipal_object: ldb_msg_copy failed!\n");
 602                 talloc_free(mem_ctx);
 603                 return LDB_ERR_OPERATIONS_ERROR;
 604         }
 605
 606         ret = samdb_copy_template(module->ldb, msg2,
 607                                   "ForeignSecurityPrincipal",
 608                                   &errstr);
 609         if (ret != 0) {
 610                 ldb_asprintf_errstring(module->ldb,
 611                                        "samldb_fill_foreignSecurityPrincipal_object: "
 612                                        "Error copying template: %s",
 613                                     errstr);
 614                 talloc_free(mem_ctx);
 615                 return ret;
 616         }
 617
 618         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 619
 620         if (strcasecmp(rdn_name, "cn") != 0) {
 621                 ldb_asprintf_errstring(module->ldb, "Bad RDN (%s=) for ForeignSecurityPrincipal, should be CN=!", rdn_name);
 622                 talloc_free(mem_ctx);
 623                 return LDB_ERR_CONSTRAINT_VIOLATION;
 624         }
 625
 626         sid = samdb_result_dom_sid(msg2, msg, "objectSid");
 627         if (!sid) {
 628                 /* Slightly different for the foreign sids.  We don't want
 629                  * domain SIDs ending up there, it would cause all sorts of
 630                  * pain */
 631
 632                 sid = dom_sid_parse_talloc(msg2, (const char *)ldb_dn_get_rdn_val(msg2->dn)->data);
 633                 if (!sid) {
 634                         ldb_set_errstring(module->ldb, "No valid found SID in ForeignSecurityPrincipal CN!");
 635                         talloc_free(mem_ctx);
 636                         return LDB_ERR_CONSTRAINT_VIOLATION;
 637                 }
 638
 639                 if ( ! samldb_msg_add_sid(module, msg2, "objectSid", sid)) {
 640                         talloc_free(sid);
 641                         return LDB_ERR_OPERATIONS_ERROR;
 642                 }
 643
 644                 dom_sid = dom_sid_dup(mem_ctx, sid);
 645                 if (!dom_sid) {
 646                         talloc_free(mem_ctx);
 647                         return LDB_ERR_OPERATIONS_ERROR;
 648                 }
 649                 /* get the domain component part of the provided SID */
 650                 dom_sid->num_auths--;
 651
 652                 /* find the domain DN */
 653
 654                 ret = gendb_search(module->ldb,
 655                                    mem_ctx, NULL, &dom_msgs, dom_attrs,
 656                                    "(&(objectSid=%s)(objectclass=domain))",
 657                                    ldap_encode_ndr_dom_sid(mem_ctx, dom_sid));
 658                 if (ret >= 1) {
 659                         /* We don't really like the idea of foreign sids that are not foreign, but it happens */
 660                         const char *name = samdb_result_string(dom_msgs[0], "name", NULL);
 661                         ldb_debug(module->ldb, LDB_DEBUG_TRACE, "NOTE (strange but valid): Adding foreign SID record with SID %s, but this domian (%s) is already in the database",
 662                                   dom_sid_string(mem_ctx, sid), name);
 663                 } else if (ret == -1) {
 664                         ldb_asprintf_errstring(module->ldb,
 665                                                 "samldb_fill_foreignSecurityPrincipal_object: error searching for a domain with this sid: %s\n",
 666                                                 dom_sid_string(mem_ctx, dom_sid));
 667                         talloc_free(dom_msgs);
 668                         return LDB_ERR_OPERATIONS_ERROR;
 669                 }
 670         }
 671
 672         /* This isn't an operation on a domain we know about, so just
 673          * check for the SID, looking for duplicates via the common
 674          * code */
 675         ret = samldb_notice_sid(module, msg2, sid);
 676         if (ret == 0) {
 677                 talloc_steal(msg, msg2);
 678                 *ret_msg = msg2;
 679         }
 680
 681         return ret;
 682 }
 683
 684 /* add_record */
 685
 686 /*
 687  * FIXME
 688  *
 689  * Actually this module is not async at all as it does a number of sync searches
 690  * in the process. It still to be decided how to deal with it properly so it is
 691  * left SYNC for now until we think of a good solution.
 692  */
 693
 694 static int samldb_add(struct ldb_module *module, struct ldb_request *req)
 695 {
 696         const struct ldb_message *msg = req->op.add.message;
 697         struct ldb_message *msg2 = NULL;
 698         struct ldb_request *down_req;
 699         int ret;
 700
 701         ldb_debug(module->ldb, LDB_DEBUG_TRACE, "samldb_add_record\n");
 702
 703         if (ldb_dn_is_special(msg->dn)) { /* do not manipulate our control entries */
 704                 return ldb_next_request(module, req);
 705         }
 706
 707         /* is user or computer? */
 708         if ((samdb_find_attribute(module->ldb, msg, "objectclass", "user") != NULL) ||
 709             (samdb_find_attribute(module->ldb, msg, "objectclass", "computer") != NULL)) {
 710                 /*  add all relevant missing objects */
 711                 ret = samldb_fill_user_or_computer_object(module, msg, &msg2);
 712                 if (ret) {
 713                         return ret;
 714                 }
 715         }
 716
 717         /* is group? add all relevant missing objects */
 718         if ( ! msg2 ) {
 719                 if (samdb_find_attribute(module->ldb, msg, "objectclass", "group") != NULL) {
 720                         ret = samldb_fill_group_object(module, msg, &msg2);
 721                         if (ret) {
 722                                 return ret;
 723                         }
 724                 }
 725         }
 726
 727         /* perhaps a foreignSecurityPrincipal? */
 728         if ( ! msg2 ) {
 729                 if (samdb_find_attribute(module->ldb, msg, "objectclass", "foreignSecurityPrincipal") != NULL) {
 730                         ret = samldb_fill_foreignSecurityPrincipal_object(module, msg, &msg2);
 731                         if (ret) {
 732                                 return ret;
 733                         }
 734                 }
 735         }
 736
 737         if (msg2 == NULL) {
 738                 return ldb_next_request(module, req);
 739         }
 740
 741         down_req = talloc(req, struct ldb_request);
 742         if (down_req == NULL) {
 743                 return LDB_ERR_OPERATIONS_ERROR;
 744         }
 745
 746         *down_req = *req;
 747
 748         down_req->op.add.message = talloc_steal(down_req, msg2);
 749
 750         ldb_set_timeout_from_prev_req(module->ldb, req, down_req);
 751
 752         /* go on with the call chain */
 753         ret = ldb_next_request(module, down_req);
 754
 755         /* do not free down_req as the call results may be linked to it,
 756          * it will be freed when the upper level request get freed */
 757         if (ret == LDB_SUCCESS) {
 758                 req->handle = down_req->handle;
 759         }
 760
 761         return ret;
 762 }
 763
 764 /* modify */
 765 static int samldb_modify(struct ldb_module *module, struct ldb_request *req)
 766 {
 767         struct ldb_message *msg;
 768         struct ldb_message_element *el, *el2;
 769         int ret;
 770         unsigned int group_type, user_account_control, account_type;
 771         if (ldb_dn_is_special(req->op.mod.message->dn)) { /* do not manipulate our control entries */
 772                 return ldb_next_request(module, req);
 773         }
 774
 775         if (ldb_msg_find_element(req->op.mod.message, "sAMAccountType") != NULL) {
 776                 ldb_asprintf_errstring(module->ldb, "sAMAccountType must not be specified");
 777                 return LDB_ERR_UNWILLING_TO_PERFORM;
 778         }
 779
 780         el = ldb_msg_find_element(req->op.mod.message, "groupType");
 781         if (el && el->flags & (LDB_FLAG_MOD_ADD|LDB_FLAG_MOD_REPLACE) && el->num_values == 1) {
 782                 req->op.mod.message = msg = ldb_msg_copy_shallow(req, req->op.mod.message);
 783
 784                 group_type = strtoul((const char *)el->values[0].data, NULL, 0);
 785                 account_type =  samdb_gtype2atype(group_type);
 786                 ret = samdb_msg_add_uint(module->ldb, msg, msg,
 787                                          "sAMAccountType",
 788                                          account_type);
 789                 if (ret != LDB_SUCCESS) {
 790                         return ret;
 791                 }
 792                 el2 = ldb_msg_find_element(msg, "sAMAccountType");
 793                 el2->flags = LDB_FLAG_MOD_REPLACE;
 794         }
 795
 796         el = ldb_msg_find_element(req->op.mod.message, "userAccountControl");
 797         if (el && el->flags & (LDB_FLAG_MOD_ADD|LDB_FLAG_MOD_REPLACE) && el->num_values == 1) {
 798                 req->op.mod.message = msg = ldb_msg_copy_shallow(req, req->op.mod.message);
 799
 800                 user_account_control = strtoul((const char *)el->values[0].data, NULL, 0);
 801                 account_type = samdb_uf2atype(user_account_control);
 802                 ret = samdb_msg_add_uint(module->ldb, msg, msg,
 803                                          "sAMAccountType",
 804                                          account_type);
 805                 if (ret != LDB_SUCCESS) {
 806                         return ret;
 807                 }
 808                 el2 = ldb_msg_find_element(msg, "sAMAccountType");
 809                 el2->flags = LDB_FLAG_MOD_REPLACE;
 810         }
 811         return ldb_next_request(module, req);
 812 }
 813
 814
 815 static int samldb_init(struct ldb_module *module)
 816 {
 817         return ldb_next_init(module);
 818 }
 819
 820 _PUBLIC_ const struct ldb_module_ops ldb_samldb_module_ops = {
 821         .name          = "samldb",
 822         .init_context  = samldb_init,
 823         .add           = samldb_add,
 824         .modify        = samldb_modify
 825 };