source4/dsdb/samdb/ldb_modules/samldb.c

   1 /*
   2    SAM ldb module
   3
   4    Copyright (C) Simo Sorce  2004
   5    Copyright (C) Andrew Bartlett <abartlet@samba.org> 2005
   6
   7    * NOTICE: this module is NOT released under the GNU LGPL license as
   8    * other ldb code. This module is release under the GNU GPL v2 or
   9    * later license.
  10
  11    This program is free software; you can redistribute it and/or modify
  12    it under the terms of the GNU General Public License as published by
  13    the Free Software Foundation; either version 3 of the License, or
  14    (at your option) any later version.
  15
  16    This program is distributed in the hope that it will be useful,
  17    but WITHOUT ANY WARRANTY; without even the implied warranty of
  18    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  19    GNU General Public License for more details.
  20
  21    You should have received a copy of the GNU General Public License
  22    along with this program.  If not, see <http://www.gnu.org/licenses/>.
  23 */
  24
  25 /*
  26  *  Name: ldb
  27  *
  28  *  Component: ldb samldb module
  29  *
  30  *  Description: add embedded user/group creation functionality
  31  *
  32  *  Author: Simo Sorce
  33  */
  34
  35 #include "includes.h"
  36 #include "libcli/ldap/ldap.h"
  37 #include "lib/ldb/include/ldb_errors.h"
  38 #include "lib/ldb/include/ldb_private.h"
  39 #include "dsdb/samdb/samdb.h"
  40 #include "libcli/security/security.h"
  41 #include "librpc/gen_ndr/ndr_security.h"
  42 #include "util/util_ldb.h"
  43
  44 int samldb_notice_sid(struct ldb_module *module,
  45                       TALLOC_CTX *mem_ctx, const struct dom_sid *sid);
  46
  47 static bool samldb_msg_add_sid(struct ldb_module *module, struct ldb_message *msg, const char *name, const struct dom_sid *sid)
  48 {
  49         struct ldb_val v;
  50         enum ndr_err_code ndr_err;
  51
  52         ndr_err = ndr_push_struct_blob(&v, msg, sid,
  53                                        (ndr_push_flags_fn_t)ndr_push_dom_sid);
  54         if (!NDR_ERR_CODE_IS_SUCCESS(ndr_err)) {
  55                 return false;
  56         }
  57         return (ldb_msg_add_value(msg, name, &v, NULL) == 0);
  58 }
  59
  60 /*
  61   allocate a new id, attempting to do it atomically
  62   return 0 on failure, the id on success
  63 */
  64 static int samldb_set_next_rid(struct ldb_context *ldb, TALLOC_CTX *mem_ctx,
  65                                struct ldb_dn *dn, uint32_t old_id, uint32_t new_id)
  66 {
  67         struct ldb_message msg;
  68         int ret;
  69         struct ldb_val vals[2];
  70         struct ldb_message_element els[2];
  71
  72         if (new_id == 0) {
  73                 /* out of IDs ! */
  74                 ldb_debug(ldb, LDB_DEBUG_FATAL, "Are we out of valid IDs ?\n");
  75                 return LDB_ERR_OPERATIONS_ERROR;
  76         }
  77
  78         /* we do a delete and add as a single operation. That prevents
  79            a race, in case we are not actually on a transaction db */
  80         ZERO_STRUCT(msg);
  81         msg.dn = ldb_dn_copy(mem_ctx, dn);
  82         if (!msg.dn) {
  83                 return LDB_ERR_OPERATIONS_ERROR;
  84         }
  85         msg.num_elements = 2;
  86         msg.elements = els;
  87
  88         els[0].num_values = 1;
  89         els[0].values = &vals[0];
  90         els[0].flags = LDB_FLAG_MOD_DELETE;
  91         els[0].name = talloc_strdup(mem_ctx, "nextRid");
  92         if (!els[0].name) {
  93                 return LDB_ERR_OPERATIONS_ERROR;
  94         }
  95
  96         els[1].num_values = 1;
  97         els[1].values = &vals[1];
  98         els[1].flags = LDB_FLAG_MOD_ADD;
  99         els[1].name = els[0].name;
 100
 101         vals[0].data = (uint8_t *)talloc_asprintf(mem_ctx, "%u", old_id);
 102         if (!vals[0].data) {
 103                 return LDB_ERR_OPERATIONS_ERROR;
 104         }
 105         vals[0].length = strlen((char *)vals[0].data);
 106
 107         vals[1].data = (uint8_t *)talloc_asprintf(mem_ctx, "%u", new_id);
 108         if (!vals[1].data) {
 109                 return LDB_ERR_OPERATIONS_ERROR;
 110         }
 111         vals[1].length = strlen((char *)vals[1].data);
 112
 113         ret = ldb_modify(ldb, &msg);
 114         return ret;
 115 }
 116
 117 /*
 118   allocate a new id, attempting to do it atomically
 119   return 0 on failure, the id on success
 120 */
 121 static int samldb_find_next_rid(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 122                                 struct ldb_dn *dn, uint32_t *old_rid)
 123 {
 124         const char * const attrs[2] = { "nextRid", NULL };
 125         struct ldb_result *res = NULL;
 126         int ret;
 127         const char *str;
 128
 129         ret = ldb_search(module->ldb, dn, LDB_SCOPE_BASE, "nextRid=*", attrs, &res);
 130         if (ret != LDB_SUCCESS) {
 131                 return ret;
 132         }
 133         if (res->count != 1) {
 134                 talloc_free(res);
 135                 return LDB_ERR_OPERATIONS_ERROR;
 136         }
 137
 138         str = ldb_msg_find_attr_as_string(res->msgs[0], "nextRid", NULL);
 139         if (str == NULL) {
 140                 ldb_asprintf_errstring(module->ldb,
 141                                         "attribute nextRid not found in %s\n",
 142                                         ldb_dn_get_linearized(dn));
 143                 talloc_free(res);
 144                 return LDB_ERR_OPERATIONS_ERROR;
 145         }
 146
 147         *old_rid = strtol(str, NULL, 0);
 148         talloc_free(res);
 149         return LDB_SUCCESS;
 150 }
 151
 152 static int samldb_allocate_next_rid(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 153                                     struct ldb_dn *dn, const struct dom_sid *dom_sid,
 154                                     struct dom_sid **new_sid)
 155 {
 156         struct dom_sid *obj_sid;
 157         uint32_t old_rid;
 158         int ret;
 159
 160         ret = samldb_find_next_rid(module, mem_ctx, dn, &old_rid);
 161         if (ret) {
 162                 return ret;
 163         }
 164
 165         /* return the new object sid */
 166         obj_sid = dom_sid_add_rid(mem_ctx, dom_sid, old_rid);
 167
 168         *new_sid = dom_sid_add_rid(mem_ctx, dom_sid, old_rid + 1);
 169         if (!*new_sid) {
 170                 return LDB_ERR_OPERATIONS_ERROR;
 171         }
 172
 173         ret = samldb_notice_sid(module, mem_ctx, *new_sid);
 174         if (ret != 0) {
 175                 /* gah, there are conflicting sids.
 176                  * This is a critical situation it means that someone messed up with
 177                  * the DB and nextRid is not returning free RIDs, report an error
 178                  * and refuse to create any user until the problem is fixed */
 179                 ldb_asprintf_errstring(module->ldb,
 180                                         "Critical Error: unconsistent DB, unable to retireve an unique RID to generate a new SID: %s",
 181                                         ldb_errstring(module->ldb));
 182                 return ret;
 183         }
 184         return ret;
 185 }
 186
 187 /* search the domain related to the provided dn
 188    allocate a new RID for the domain
 189    return the new sid string
 190 */
 191 static int samldb_get_new_sid(struct ldb_module *module,
 192                               TALLOC_CTX *mem_ctx, struct ldb_dn *obj_dn,
 193                               struct ldb_dn *dom_dn,
 194                               struct dom_sid **sid)
 195 {
 196         const char * const attrs[2] = { "objectSid", NULL };
 197         struct ldb_result *res = NULL;
 198         int ret;
 199         struct dom_sid *dom_sid;
 200
 201         /* get the domain component part of the provided dn */
 202
 203         /* find the domain sid */
 204
 205         ret = ldb_search(module->ldb, dom_dn, LDB_SCOPE_BASE, "objectSid=*", attrs, &res);
 206         if (ret != LDB_SUCCESS) {
 207                 ldb_asprintf_errstring(module->ldb,
 208                                         "samldb_get_new_sid: error retrieving domain sid from %s: %s!\n",
 209                                         ldb_dn_get_linearized(dom_dn),
 210                                         ldb_errstring(module->ldb));
 211                 talloc_free(res);
 212                 return ret;
 213         }
 214
 215         if (res->count != 1) {
 216                 ldb_asprintf_errstring(module->ldb,
 217                                         "samldb_get_new_sid: error retrieving domain sid from %s: not found!\n",
 218                                         ldb_dn_get_linearized(dom_dn));
 219                 talloc_free(res);
 220                 return LDB_ERR_CONSTRAINT_VIOLATION;
 221         }
 222
 223         dom_sid = samdb_result_dom_sid(res, res->msgs[0], "objectSid");
 224         if (dom_sid == NULL) {
 225                 ldb_set_errstring(module->ldb, "samldb_get_new_sid: error parsing domain sid!\n");
 226                 talloc_free(res);
 227                 return LDB_ERR_CONSTRAINT_VIOLATION;
 228         }
 229
 230         /* allocate a new Rid for the domain */
 231         ret = samldb_allocate_next_rid(module, mem_ctx, dom_dn, dom_sid, sid);
 232         if (ret != 0) {
 233                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "Failed to increment nextRid of %s: %s\n", ldb_dn_get_linearized(dom_dn), ldb_errstring(module->ldb));
 234                 talloc_free(res);
 235                 return ret;
 236         }
 237
 238         talloc_free(res);
 239
 240         return ret;
 241 }
 242
 243 /* If we are adding new users/groups, we need to update the nextRid
 244  * attribute to be 'above' all incoming users RIDs.  This tries to
 245  * avoid clashes in future */
 246
 247 int samldb_notice_sid(struct ldb_module *module,
 248                       TALLOC_CTX *mem_ctx, const struct dom_sid *sid)
 249 {
 250         int ret;
 251         struct ldb_dn *dom_dn;
 252         struct dom_sid *dom_sid;
 253         const char *attrs[] = { NULL };
 254         struct ldb_result *dom_res;
 255         struct ldb_result *res;
 256         uint32_t old_rid;
 257
 258         /* find if this SID already exists */
 259         ret = ldb_search_exp_fmt(module->ldb, mem_ctx, &res,
 260                                  NULL, LDB_SCOPE_SUBTREE, attrs,
 261                                  "(objectSid=%s)", ldap_encode_ndr_dom_sid(mem_ctx, sid));
 262         if (ret == LDB_SUCCESS) {
 263                 if (res->count > 0) {
 264                         talloc_free(res);
 265                         ldb_asprintf_errstring(module->ldb,
 266                                                 "Attempt to add record with SID %s rejected,"
 267                                                 " because this SID is already in the database",
 268                                                 dom_sid_string(mem_ctx, sid));
 269                         /* We have a duplicate SID, we must reject the add */
 270                         return LDB_ERR_CONSTRAINT_VIOLATION;
 271                 }
 272                 talloc_free(res);
 273         } else {
 274                 ldb_asprintf_errstring(module->ldb,
 275                                         "samldb_notice_sid: error searching to see if sid %s is in use: %s\n",
 276                                         dom_sid_string(mem_ctx, sid),
 277                                         ldb_errstring(module->ldb));
 278                 return ret;
 279         }
 280
 281         dom_sid = dom_sid_dup(mem_ctx, sid);
 282         if (!dom_sid) {
 283                 return LDB_ERR_OPERATIONS_ERROR;
 284         }
 285         /* get the domain component part of the provided SID */
 286         dom_sid->num_auths--;
 287
 288         /* find the domain DN */
 289         ret = ldb_search_exp_fmt(module->ldb, mem_ctx, &dom_res,
 290                                  NULL, LDB_SCOPE_SUBTREE, attrs,
 291                                  "(&(objectSid=%s)(objectclass=domain))",
 292                                  ldap_encode_ndr_dom_sid(mem_ctx, dom_sid));
 293         if (ret == LDB_SUCCESS) {
 294                 if (dom_res->count == 0) {
 295                         talloc_free(dom_res);
 296                         /* This isn't an operation on a domain we know about, so nothing to update */
 297                         return LDB_SUCCESS;
 298                 }
 299
 300                 if (dom_res->count > 1) {
 301                         talloc_free(dom_res);
 302                         ldb_asprintf_errstring(module->ldb,
 303                                         "samldb_notice_sid: error retrieving domain from sid: duplicate (found %d) domain: %s!\n",
 304                                         dom_res->count, dom_sid_string(dom_res, dom_sid));
 305                         return LDB_ERR_OPERATIONS_ERROR;
 306                 }
 307         } else {
 308                 ldb_asprintf_errstring(module->ldb,
 309                                         "samldb_notice_sid: error retrieving domain from sid: %s: %s\n",
 310                                         dom_sid_string(dom_res, dom_sid),
 311                                         ldb_errstring(module->ldb));
 312                 return ret;
 313         }
 314
 315         dom_dn = dom_res->msgs[0]->dn;
 316
 317         ret = samldb_find_next_rid(module, mem_ctx,
 318                                    dom_dn, &old_rid);
 319         if (ret) {
 320                 talloc_free(dom_res);
 321                 return ret;
 322         }
 323
 324         if (old_rid <= sid->sub_auths[sid->num_auths - 1]) {
 325                 ret = samldb_set_next_rid(module->ldb, mem_ctx, dom_dn, old_rid,
 326                                           sid->sub_auths[sid->num_auths - 1] + 1);
 327         }
 328         talloc_free(dom_res);
 329         return ret;
 330 }
 331
 332 static int samldb_handle_sid(struct ldb_module *module,
 333                              TALLOC_CTX *mem_ctx, struct ldb_message *msg2,
 334                              struct ldb_dn *parent_dn)
 335 {
 336         int ret;
 337
 338         struct dom_sid *sid = samdb_result_dom_sid(mem_ctx, msg2, "objectSid");
 339         if (sid == NULL) {
 340                 ret = samldb_get_new_sid(module, msg2, msg2->dn, parent_dn, &sid);
 341                 if (ret != 0) {
 342                         return ret;
 343                 }
 344
 345                 if ( ! samldb_msg_add_sid(module, msg2, "objectSid", sid)) {
 346                         talloc_free(sid);
 347                         return LDB_ERR_OPERATIONS_ERROR;
 348                 }
 349                 talloc_free(sid);
 350                 ret = LDB_SUCCESS;
 351         } else {
 352                 ret = samldb_notice_sid(module, msg2, sid);
 353         }
 354         return ret;
 355 }
 356
 357 static int samldb_generate_samAccountName(struct ldb_module *module, TALLOC_CTX *mem_ctx,
 358                                           struct ldb_dn *dom_dn, char **name)
 359 {
 360         const char *attrs[] = { NULL };
 361         struct ldb_result *res;
 362         int ret;
 363
 364         /* Format: $000000-000000000000 */
 365
 366         do {
 367                 *name = talloc_asprintf(mem_ctx, "$%.6X-%.6X%.6X", (unsigned int)random(), (unsigned int)random(), (unsigned int)random());
 368                 /* TODO: Figure out exactly what this is meant to conflict with */
 369                 ret = ldb_search_exp_fmt(module->ldb,
 370                                          mem_ctx, &res, dom_dn, LDB_SCOPE_SUBTREE, attrs,
 371                                          "samAccountName=%s",
 372                                          ldb_binary_encode_string(mem_ctx, *name));
 373                 if (ret != LDB_SUCCESS) {
 374                         ldb_asprintf_errstring(module->ldb, "samldb: Failure searching to determine if samAccountName %s is unique: %s",
 375                                                *name, ldb_errstring(module->ldb));
 376                         return ret;
 377                 }
 378
 379                 if (res->count == 0) {
 380                         talloc_free(res);
 381                         /* Great. There are no conflicting users/groups/etc */
 382                         return LDB_SUCCESS;
 383                 } else {
 384                         talloc_free(*name);
 385                         /* gah, there is a conflicting name, lets move around the loop again... */
 386                 }
 387         } while (1);
 388 }
 389
 390 static int samldb_fill_group_object(struct ldb_module *module, const struct ldb_message *msg,
 391                                                     struct ldb_message **ret_msg)
 392 {
 393         int ret;
 394         char *name;
 395         struct ldb_message *msg2;
 396         struct ldb_dn *dom_dn;
 397         const char *rdn_name;
 398         TALLOC_CTX *mem_ctx = talloc_new(msg);
 399         const char *errstr;
 400         if (!mem_ctx) {
 401                 return LDB_ERR_OPERATIONS_ERROR;
 402         }
 403
 404         /* build the new msg */
 405         msg2 = ldb_msg_copy(mem_ctx, msg);
 406         if (!msg2) {
 407                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: ldb_msg_copy failed!\n");
 408                 talloc_free(mem_ctx);
 409                 return LDB_ERR_OPERATIONS_ERROR;
 410         }
 411
 412         ret = samdb_copy_template(module->ldb, msg2,
 413                                   "group",
 414                                   &errstr);
 415         if (ret != 0) {
 416
 417                 talloc_free(mem_ctx);
 418                 return ret;
 419         }
 420
 421         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 422
 423         if (strcasecmp(rdn_name, "cn") != 0) {
 424                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_group_object: Bad RDN (%s) for group!\n", rdn_name);
 425                 talloc_free(mem_ctx);
 426                 return LDB_ERR_CONSTRAINT_VIOLATION;
 427         }
 428
 429         ret = samdb_search_for_parent_domain(module->ldb, mem_ctx, msg2->dn, &dom_dn, &errstr);
 430         if (ret != LDB_SUCCESS) {
 431                 ldb_asprintf_errstring(module->ldb,
 432                                        "samldb_fill_group_object: %s", errstr);
 433                 return ret;
 434         }
 435
 436         /* Generate a random name, if no samAccountName was supplied */
 437         if (ldb_msg_find_element(msg2, "samAccountName") == NULL) {
 438                 ret = samldb_generate_samAccountName(module, mem_ctx, dom_dn, &name);
 439                 if (ret != LDB_SUCCESS) {
 440                         talloc_free(mem_ctx);
 441                         return ret;
 442                 }
 443                 ret = samdb_find_or_add_attribute(module->ldb, msg2, "sAMAccountName", name);
 444                 if (ret) {
 445                         talloc_free(mem_ctx);
 446                         return ret;
 447                 }
 448         }
 449
 450         /* Manage SID allocation, conflicts etc */
 451         ret = samldb_handle_sid(module, mem_ctx, msg2, dom_dn);
 452
 453         if (ret == LDB_SUCCESS) {
 454                 talloc_steal(msg, msg2);
 455                 *ret_msg = msg2;
 456         }
 457         talloc_free(mem_ctx);
 458         return ret;
 459 }
 460
 461 static int samldb_fill_user_or_computer_object(struct ldb_module *module, const struct ldb_message *msg,
 462                                                                struct ldb_message **ret_msg)
 463 {
 464         int ret;
 465         char *name;
 466         struct ldb_message *msg2;
 467         struct ldb_dn *dom_dn;
 468         const char *rdn_name;
 469         TALLOC_CTX *mem_ctx = talloc_new(msg);
 470         const char *errstr;
 471         if (!mem_ctx) {
 472                 return LDB_ERR_OPERATIONS_ERROR;
 473         }
 474
 475         /* build the new msg */
 476         msg2 = ldb_msg_copy(mem_ctx, msg);
 477         if (!msg2) {
 478                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_user_or_computer_object: ldb_msg_copy failed!\n");
 479                 talloc_free(mem_ctx);
 480                 return LDB_ERR_OPERATIONS_ERROR;
 481         }
 482
 483         if (samdb_find_attribute(module->ldb, msg, "objectclass", "computer") != NULL) {
 484
 485                 ret = samdb_copy_template(module->ldb, msg2,
 486                                           "computer",
 487                                           &errstr);
 488                 if (ret) {
 489                         ldb_asprintf_errstring(module->ldb,
 490                                                "samldb_fill_user_or_computer_object: "
 491                                                "Error copying computer template: %s",
 492                                                errstr);
 493                         talloc_free(mem_ctx);
 494                         return ret;
 495                 }
 496         } else {
 497                 ret = samdb_copy_template(module->ldb, msg2,
 498                                           "user",
 499                                           &errstr);
 500                 if (ret) {
 501                         ldb_asprintf_errstring(module->ldb,
 502                                                "samldb_fill_user_or_computer_object: Error copying user template: %s\n",
 503                                                errstr);
 504                         talloc_free(mem_ctx);
 505                         return ret;
 506                 }
 507                 /* readd user objectclass */
 508                 ret = samdb_find_or_add_value(module->ldb, msg2, "objectclass", "user");
 509                 if (ret) {
 510                         talloc_free(mem_ctx);
 511                         return ret;
 512                 }
 513         }
 514
 515         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 516
 517         if (strcasecmp(rdn_name, "cn") != 0) {
 518                 ldb_asprintf_errstring(module->ldb, "Bad RDN (%s=) for user/computer, should be CN=!\n", rdn_name);
 519                 talloc_free(mem_ctx);
 520                 return LDB_ERR_CONSTRAINT_VIOLATION;
 521         }
 522
 523         ret = samdb_search_for_parent_domain(module->ldb, mem_ctx, msg2->dn, &dom_dn, &errstr);
 524         if (ret != LDB_SUCCESS) {
 525                 ldb_asprintf_errstring(module->ldb,
 526                                        "samldb_fill_user_or_computer_object: %s", errstr);
 527                 return ret;
 528         }
 529
 530         if (ldb_msg_find_element(msg2, "samAccountName") == NULL) {
 531                 ret = samldb_generate_samAccountName(module, mem_ctx, dom_dn, &name);
 532                 if (ret != LDB_SUCCESS) {
 533                         talloc_free(mem_ctx);
 534                         return ret;
 535                 }
 536                 ret = samdb_find_or_add_attribute(module->ldb, msg2, "sAMAccountName", name);
 537                 if (ret) {
 538                         talloc_free(mem_ctx);
 539                         return ret;
 540                 }
 541         }
 542
 543         /*
 544           TODO: useraccountcontrol: setting value 0 gives 0x200 for users
 545         */
 546
 547         /* Manage SID allocation, conflicts etc */
 548         ret = samldb_handle_sid(module, mem_ctx, msg2, dom_dn);
 549
 550         /* TODO: objectCategory, userAccountControl, badPwdCount, codePage, countryCode, badPasswordTime, lastLogoff, lastLogon, pwdLastSet, primaryGroupID, accountExpires, logonCount */
 551
 552         if (ret == 0) {
 553                 *ret_msg = msg2;
 554                 talloc_steal(msg, msg2);
 555         }
 556         talloc_free(mem_ctx);
 557         return ret;
 558 }
 559
 560 static int samldb_fill_foreignSecurityPrincipal_object(struct ldb_module *module, const struct ldb_message *msg,
 561                                                        struct ldb_message **ret_msg)
 562 {
 563         struct ldb_message *msg2;
 564         const char *rdn_name;
 565         struct dom_sid *dom_sid;
 566         struct dom_sid *sid;
 567         const char *dom_attrs[] = { "name", NULL };
 568         struct ldb_message **dom_msgs;
 569         const char *errstr;
 570         int ret;
 571
 572         TALLOC_CTX *mem_ctx = talloc_new(msg);
 573         if (!mem_ctx) {
 574                 return LDB_ERR_OPERATIONS_ERROR;
 575         }
 576
 577         /* build the new msg */
 578         msg2 = ldb_msg_copy(mem_ctx, msg);
 579         if (!msg2) {
 580                 ldb_debug(module->ldb, LDB_DEBUG_FATAL, "samldb_fill_foreignSecurityPrincipal_object: ldb_msg_copy failed!\n");
 581                 talloc_free(mem_ctx);
 582                 return LDB_ERR_OPERATIONS_ERROR;
 583         }
 584
 585         ret = samdb_copy_template(module->ldb, msg2,
 586                                   "ForeignSecurityPrincipal",
 587                                   &errstr);
 588         if (ret != 0) {
 589                 ldb_asprintf_errstring(module->ldb,
 590                                        "samldb_fill_foreignSecurityPrincipal_object: "
 591                                        "Error copying template: %s",
 592                                     errstr);
 593                 talloc_free(mem_ctx);
 594                 return ret;
 595         }
 596
 597         rdn_name = ldb_dn_get_rdn_name(msg2->dn);
 598
 599         if (strcasecmp(rdn_name, "cn") != 0) {
 600                 ldb_asprintf_errstring(module->ldb, "Bad RDN (%s=) for ForeignSecurityPrincipal, should be CN=!", rdn_name);
 601                 talloc_free(mem_ctx);
 602                 return LDB_ERR_CONSTRAINT_VIOLATION;
 603         }
 604
 605         sid = samdb_result_dom_sid(msg2, msg, "objectSid");
 606         if (!sid) {
 607                 /* Slightly different for the foreign sids.  We don't want
 608                  * domain SIDs ending up there, it would cause all sorts of
 609                  * pain */
 610
 611                 sid = dom_sid_parse_talloc(msg2, (const char *)ldb_dn_get_rdn_val(msg2->dn)->data);
 612                 if (!sid) {
 613                         ldb_set_errstring(module->ldb, "No valid found SID in ForeignSecurityPrincipal CN!");
 614                         talloc_free(mem_ctx);
 615                         return LDB_ERR_CONSTRAINT_VIOLATION;
 616                 }
 617
 618                 if ( ! samldb_msg_add_sid(module, msg2, "objectSid", sid)) {
 619                         talloc_free(sid);
 620                         return LDB_ERR_OPERATIONS_ERROR;
 621                 }
 622
 623                 dom_sid = dom_sid_dup(mem_ctx, sid);
 624                 if (!dom_sid) {
 625                         talloc_free(mem_ctx);
 626                         return LDB_ERR_OPERATIONS_ERROR;
 627                 }
 628                 /* get the domain component part of the provided SID */
 629                 dom_sid->num_auths--;
 630
 631                 /* find the domain DN */
 632
 633                 ret = gendb_search(module->ldb,
 634                                    mem_ctx, NULL, &dom_msgs, dom_attrs,
 635                                    "(&(objectSid=%s)(objectclass=domain))",
 636                                    ldap_encode_ndr_dom_sid(mem_ctx, dom_sid));
 637                 if (ret >= 1) {
 638                         /* We don't really like the idea of foreign sids that are not foreign, but it happens */
 639                         const char *name = samdb_result_string(dom_msgs[0], "name", NULL);
 640                         ldb_debug(module->ldb, LDB_DEBUG_TRACE, "NOTE (strange but valid): Adding foreign SID record with SID %s, but this domian (%s) is already in the database",
 641                                   dom_sid_string(mem_ctx, sid), name);
 642                 } else if (ret == -1) {
 643                         ldb_asprintf_errstring(module->ldb,
 644                                                 "samldb_fill_foreignSecurityPrincipal_object: error searching for a domain with this sid: %s\n",
 645                                                 dom_sid_string(mem_ctx, dom_sid));
 646                         talloc_free(dom_msgs);
 647                         return LDB_ERR_OPERATIONS_ERROR;
 648                 }
 649         }
 650
 651         /* This isn't an operation on a domain we know about, so just
 652          * check for the SID, looking for duplicates via the common
 653          * code */
 654         ret = samldb_notice_sid(module, msg2, sid);
 655         if (ret == 0) {
 656                 talloc_steal(msg, msg2);
 657                 *ret_msg = msg2;
 658         }
 659
 660         return ret;
 661 }
 662
 663 /* add_record */
 664
 665 /*
 666  * FIXME
 667  *
 668  * Actually this module is not async at all as it does a number of sync searches
 669  * in the process. It still to be decided how to deal with it properly so it is
 670  * left SYNC for now until we think of a good solution.
 671  */
 672
 673 static int samldb_add(struct ldb_module *module, struct ldb_request *req)
 674 {
 675         const struct ldb_message *msg = req->op.add.message;
 676         struct ldb_message *msg2 = NULL;
 677         struct ldb_request *down_req;
 678         int ret;
 679
 680         ldb_debug(module->ldb, LDB_DEBUG_TRACE, "samldb_add_record\n");
 681
 682         if (ldb_dn_is_special(msg->dn)) { /* do not manipulate our control entries */
 683                 return ldb_next_request(module, req);
 684         }
 685
 686         /* is user or computer? */
 687         if ((samdb_find_attribute(module->ldb, msg, "objectclass", "user") != NULL) ||
 688             (samdb_find_attribute(module->ldb, msg, "objectclass", "computer") != NULL)) {
 689                 /*  add all relevant missing objects */
 690                 ret = samldb_fill_user_or_computer_object(module, msg, &msg2);
 691                 if (ret) {
 692                         return ret;
 693                 }
 694         }
 695
 696         /* is group? add all relevant missing objects */
 697         if ( ! msg2 ) {
 698                 if (samdb_find_attribute(module->ldb, msg, "objectclass", "group") != NULL) {
 699                         ret = samldb_fill_group_object(module, msg, &msg2);
 700                         if (ret) {
 701                                 return ret;
 702                         }
 703                 }
 704         }
 705
 706         /* perhaps a foreignSecurityPrincipal? */
 707         if ( ! msg2 ) {
 708                 if (samdb_find_attribute(module->ldb, msg, "objectclass", "foreignSecurityPrincipal") != NULL) {
 709                         ret = samldb_fill_foreignSecurityPrincipal_object(module, msg, &msg2);
 710                         if (ret) {
 711                                 return ret;
 712                         }
 713                 }
 714         }
 715
 716         if (msg2 == NULL) {
 717                 return ldb_next_request(module, req);
 718         }
 719
 720         down_req = talloc(req, struct ldb_request);
 721         if (down_req == NULL) {
 722                 return LDB_ERR_OPERATIONS_ERROR;
 723         }
 724
 725         *down_req = *req;
 726
 727         down_req->op.add.message = talloc_steal(down_req, msg2);
 728
 729         ldb_set_timeout_from_prev_req(module->ldb, req, down_req);
 730
 731         /* go on with the call chain */
 732         ret = ldb_next_request(module, down_req);
 733
 734         /* do not free down_req as the call results may be linked to it,
 735          * it will be freed when the upper level request get freed */
 736         if (ret == LDB_SUCCESS) {
 737                 req->handle = down_req->handle;
 738         }
 739
 740         return ret;
 741 }
 742
 743 static int samldb_init(struct ldb_module *module)
 744 {
 745         return ldb_next_init(module);
 746 }
 747
 748 static const struct ldb_module_ops samldb_ops = {
 749         .name          = "samldb",
 750         .init_context  = samldb_init,
 751         .add           = samldb_add,
 752 };
 753
 754
 755 int samldb_module_init(void)
 756 {
 757         return ldb_register_module(&samldb_ops);
 758 }