Revert "Add old functionality back which was removed in commit 589a42e2."
[kai/samba-autobuild/.git] / source4 / utils / net / net_gpo.c
1 /*
2    Samba Unix/Linux SMB client library
3    net ads commands for Group Policy
4
5    Copyright (C) 2005-2008 Guenther Deschner
6    Copyright (C) 2009 Wilco Baan Hofman
7
8    Based on Guenther's work in net_ads_gpo.h (samba 3)
9
10    This program is free software; you can redistribute it and/or modify
11    it under the terms of the GNU General Public License as published by
12    the Free Software Foundation; either version 3 of the License, or
13    (at your option) any later version.
14
15    This program is distributed in the hope that it will be useful,
16    but WITHOUT ANY WARRANTY; without even the implied warranty of
17    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
18    GNU General Public License for more details.
19
20    You should have received a copy of the GNU General Public License
21    along with this program.  If not, see <http://www.gnu.org/licenses/>.
22 */
23
24 #include "includes.h"
25 #include "utils/net/net.h"
26 #include "lib/ldb/include/ldb.h"
27 #include "auth/auth.h"
28 #include "param/param.h"
29 #include "libcli/security/sddl.h"
30 #include "dsdb/samdb/samdb.h"
31 #include "lib/policy/policy.h"
32
33 static int net_gpo_list_all_usage(struct net_context *ctx, int argc, const char **argv)
34 {
35         d_printf("Syntax: net gpo listall [options]\n");
36         d_printf("For a list of available options, please type net gpo listall --help\n");
37         return 0;
38 }
39
40 static int net_gpo_list_all(struct net_context *ctx, int argc, const char **argv)
41 {
42         struct gp_context *gp_ctx;
43         struct gp_object **gpo;
44         const char **gpo_flags;
45         unsigned int i, j;
46         NTSTATUS rv;
47
48         rv = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
49         if (!NT_STATUS_IS_OK(rv)) {
50                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(rv)));
51                 return 1;
52         }
53
54         rv = gp_list_all_gpos(gp_ctx, &gpo);
55         if (!NT_STATUS_IS_OK(rv)) {
56                 DEBUG(0, ("Failed to list all GPO's: %s\n", get_friendly_nt_error_msg(rv)));
57                 return 1;
58         }
59
60         for (i = 0; gpo[i] != NULL; i++) {
61                 gp_get_gpo_flags(gp_ctx, gpo[i]->flags, &gpo_flags);
62
63                 d_printf("GPO          : %s\n", gpo[i]->name);
64                 d_printf("display name : %s\n", gpo[i]->display_name);
65                 d_printf("path         : %s\n", gpo[i]->file_sys_path);
66                 d_printf("dn           : %s\n", gpo[i]->dn);
67                 d_printf("version      : %d\n", gpo[i]->version);
68                 if (gpo_flags[0] == NULL) {
69                         d_printf("flags        : NONE\n");
70                 } else {
71                         d_printf("flags        : %s\n", gpo_flags[0]);
72                         for (j = 1; gpo_flags[j] != NULL; j++) {
73                                 d_printf("               %s\n", gpo_flags[i]);
74                         }
75                 }
76                 d_printf("\n");
77                 talloc_free(gpo_flags);
78         }
79         talloc_free(gp_ctx);
80
81         return 0;
82 }
83
84 static int net_gpo_get_gpo_usage(struct net_context *ctx, int argc, const char **argv)
85 {
86         d_printf("Syntax: net gpo show <dn> [options]\n");
87         d_printf("For a list of available options, please type net gpo show --help\n");
88         return 0;
89 }
90
91 static int net_gpo_get_gpo(struct net_context *ctx, int argc, const char **argv)
92 {
93         struct gp_context *gp_ctx;
94         struct gp_object *gpo;
95         const char **gpo_flags;
96         char *sddl;
97         int i;
98         NTSTATUS rv;
99
100         if (argc != 1) {
101                 return net_gpo_get_gpo_usage(ctx, argc, argv);
102         }
103
104
105         rv = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
106         if (!NT_STATUS_IS_OK(rv)) {
107                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(rv)));
108                 return 1;
109         }
110
111         rv = gp_get_gpo_info(gp_ctx, argv[0], &gpo);
112         if (!NT_STATUS_IS_OK(rv)) {
113                 DEBUG(0, ("Failed to get GPO: %s\n", get_friendly_nt_error_msg(rv)));
114                 return 1;
115         }
116
117         gp_get_gpo_flags(gp_ctx, gpo->flags, &gpo_flags);
118
119         d_printf("GPO          : %s\n", gpo->name);
120         d_printf("display name : %s\n", gpo->display_name);
121         d_printf("path         : %s\n", gpo->file_sys_path);
122         d_printf("dn           : %s\n", gpo->dn);
123         d_printf("version      : %d\n", gpo->version);
124         if (gpo_flags[0] == NULL) {
125                 d_printf("flags        : NONE\n");
126         } else {
127                 d_printf("flags        : %s\n", gpo_flags[0]);
128                 for (i = 1; gpo_flags[i] != NULL; i++) {
129                         d_printf("               %s\n", gpo_flags[i]);
130                 }
131         }
132         sddl = sddl_encode(gp_ctx, gpo->security_descriptor, samdb_domain_sid(gp_ctx->ldb_ctx));
133         if (sddl != NULL) {
134                 d_printf("ACL          : %s\n", sddl);
135         }
136
137         d_printf("\n");
138
139         talloc_free(gp_ctx);
140         return 0;
141 }
142
143 static int net_gpo_link_get_usage(struct net_context *ctx, int argc, const char **argv)
144 {
145         d_printf("Syntax: net gpo getlink <dn> [options]\n");
146         d_printf("For a list of available options, please type net gpo getlink --help\n");
147         return 0;
148 }
149
150 static int net_gpo_link_get(struct net_context *ctx, int argc, const char **argv)
151 {
152         struct gp_context *gp_ctx;
153         struct gp_link **links;
154         NTSTATUS rv;
155         unsigned int i,j;
156         const char **options;
157
158         if (argc != 1) {
159                 return net_gpo_link_get_usage(ctx, argc, argv);
160         }
161
162         rv = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
163         if (!NT_STATUS_IS_OK(rv)) {
164                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(rv)));
165                 return 1;
166         }
167
168         rv = gp_get_gplinks(gp_ctx, argv[0], &links);
169         if (!NT_STATUS_IS_OK(rv)) {
170                 DEBUG(0, ("Failed to get gplinks: %s\n", get_friendly_nt_error_msg(rv)));
171                 return 1;
172         }
173
174         for (i = 0; links[i] != NULL; i++) {
175                 gp_get_gplink_options(gp_ctx, links[i]->options, &options);
176
177                 d_printf("GPO DN  : %s\n", links[i]->dn);
178                 if (options[0] == NULL) {
179                         d_printf("Options : NONE\n");
180                 } else {
181                         d_printf("Options : %s\n", options[0]);
182                         for (j = 1; options[j] != NULL; j++) {
183                                 d_printf("        : %s\n", options[j]);
184                         }
185                 }
186                 d_printf("\n");
187
188                 talloc_free(options);
189         }
190
191         talloc_free(gp_ctx);
192
193         return 0;
194 }
195
196 static int net_gpo_list_usage(struct net_context *ctx, int argc, const char **argv)
197 {
198         d_printf("Syntax: net gpo list <username> [options]\n");
199         d_printf("For a list of available options, please type net gpo list --help\n");
200         return 0;
201 }
202
203 static int net_gpo_list(struct net_context *ctx, int argc, const char **argv)
204 {
205         struct gp_context *gp_ctx;
206         struct ldb_result *result;
207         struct auth_serversupplied_info *server_info;
208         struct auth_session_info *session_info;
209         DATA_BLOB dummy = { NULL, 0 };
210         const char **gpos;
211         NTSTATUS status;
212         int rv;
213         unsigned int i;
214
215         if (argc != 1) {
216                 return net_gpo_list_usage(ctx, argc, argv);
217         }
218         status = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
219         if (!NT_STATUS_IS_OK(status)) {
220                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(status)));
221                 return 1;
222         }
223
224         rv = ldb_search(gp_ctx->ldb_ctx,
225                         gp_ctx,
226                         &result,
227                         ldb_get_default_basedn(gp_ctx->ldb_ctx),
228                         LDB_SCOPE_SUBTREE,
229                         NULL,
230                         "(&(objectClass=user)(sAMAccountName=%s))", argv[0]);
231         if (rv != LDB_SUCCESS) {
232                 DEBUG(0, ("LDB search failed: %s\n%s\n", ldb_strerror(rv),ldb_errstring(gp_ctx->ldb_ctx)));
233                 talloc_free(gp_ctx);
234                 return 1;
235         }
236
237         /* We expect exactly one record */
238         if (result->count != 1) {
239                 DEBUG(0, ("Could not find SAM account with name %s\n", argv[0]));
240                 talloc_free(gp_ctx);
241                 return 1;
242         }
243
244         status = authsam_make_server_info(gp_ctx,
245                         gp_ctx->ldb_ctx,
246                         lp_netbios_name(gp_ctx->lp_ctx),
247                         lp_sam_name(gp_ctx->lp_ctx),
248                         ldb_get_default_basedn(gp_ctx->ldb_ctx),
249                         result->msgs[0],
250                         dummy,
251                         dummy,
252                         &server_info);
253         if (!NT_STATUS_IS_OK(status)) {
254                 DEBUG(0, ("Failed to make server information: %s\n", get_friendly_nt_error_msg(status)));
255                 talloc_free(gp_ctx);
256                 return 1;
257         }
258
259         status = auth_generate_session_info(gp_ctx, gp_ctx->ev_ctx, gp_ctx->lp_ctx, server_info, &session_info);
260         if (!NT_STATUS_IS_OK(status)) {
261                 DEBUG(0, ("Failed to generate session information: %s\n", get_friendly_nt_error_msg(status)));
262                 talloc_free(gp_ctx);
263                 return 1;
264         }
265
266         status = gp_list_gpos(gp_ctx, session_info->security_token, &gpos);
267         if (!NT_STATUS_IS_OK(status)) {
268                 DEBUG(0, ("Failed to list gpos for user %s: %s\n", argv[0],
269                                 get_friendly_nt_error_msg(status)));
270                 talloc_free(gp_ctx);
271                 return 1;
272         }
273
274         d_printf("GPO's for user %s:\n", argv[0]);
275         for (i = 0; gpos[i] != NULL; i++) {
276                 d_printf("\t%s\n", gpos[i]);
277         }
278
279         talloc_free(gp_ctx);
280         return 0;
281 }
282
283 static int net_gpo_link_set_usage(struct net_context *ctx, int argc, const char **argv)
284 {
285         d_printf("Syntax: net gpo setlink <container> <gpo> ['disable'] ['enforce'] [options]\n");
286         d_printf("For a list of available options, please type net gpo setlink --help\n");
287         return 0;
288 }
289
290 static int net_gpo_link_set(struct net_context *ctx, int argc, const char **argv)
291 {
292         struct gp_link *gplink = talloc_zero(ctx, struct gp_link);
293         struct gp_context *gp_ctx;
294         unsigned int i;
295         NTSTATUS status;
296
297         if (argc < 2) {
298                 return net_gpo_link_set_usage(ctx, argc, argv);
299         }
300
301         if (argc >= 3) {
302                 for (i = 2; i < argc; i++) {
303                         if (strcmp(argv[i], "disable") == 0) {
304                                 gplink->options |= GPLINK_OPT_DISABLE;
305                         }
306                         if (strcmp(argv[i], "enforce") == 0) {
307                                 gplink->options |= GPLINK_OPT_ENFORCE;
308                         }
309                 }
310         }
311         gplink->dn = argv[1];
312
313         status = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
314         if (!NT_STATUS_IS_OK(status)) {
315                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(status)));
316                 return 1;
317         }
318
319         status = gp_set_gplink(gp_ctx, argv[0], gplink);
320         if (!NT_STATUS_IS_OK(status)) {
321                 DEBUG(0, ("Failed to set GPO link on container: %s\n", get_friendly_nt_error_msg(status)));
322                 return 1;
323         }
324         d_printf("Set link on container.\nCurrent Group Policy links:\n");
325
326         /* Display current links */
327         net_gpo_link_get(ctx, 1, argv);
328
329         talloc_free(gp_ctx);
330         return 0;
331 }
332
333 static int net_gpo_link_del_usage(struct net_context *ctx, int argc, const char **argv)
334 {
335         d_printf("Syntax: net gpo dellink <container> <gpo> [options]\n");
336         d_printf("For a list of available options, please type net gpo dellink --help\n");
337         return 0;
338 }
339
340 static int net_gpo_link_del(struct net_context *ctx, int argc, const char **argv)
341 {
342         struct gp_context *gp_ctx;
343         NTSTATUS status;
344
345         if (argc != 2) {
346                 return net_gpo_link_del_usage(ctx, argc, argv);
347         }
348
349         status = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
350         if (!NT_STATUS_IS_OK(status)) {
351                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(status)));
352                 return 1;
353         }
354
355         status = gp_del_gplink(gp_ctx, argv[0], argv[1]);
356         if (!NT_STATUS_IS_OK(status)) {
357                 DEBUG(0, ("Failed to delete gplink: %s\n", get_friendly_nt_error_msg(status)));
358                 return 1;
359         }
360         d_printf("Deleted gplink.\nCurrent Group Policy links:\n\n");
361
362         /* Display current links */
363         net_gpo_link_get(ctx, 1, argv);
364
365         talloc_free(gp_ctx);
366         return 0;
367 }
368
369 static int net_gpo_inheritance_get_usage(struct net_context *ctx, int argc, const char **argv)
370 {
371         d_printf("Syntax: net gpo getinheritance <container> [options]\n");
372         d_printf("For a list of available options, please type net gpo getinheritance --help\n");
373         return 0;
374 }
375
376 static int net_gpo_inheritance_get(struct net_context *ctx, int argc, const char **argv)
377 {
378         struct gp_context *gp_ctx;
379         enum gpo_inheritance inheritance;
380         NTSTATUS status;
381
382         if (argc != 1) {
383                 return net_gpo_inheritance_get_usage(ctx, argc, argv);
384         }
385
386         status = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
387         if (!NT_STATUS_IS_OK(status)) {
388                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(status)));
389                 return 1;
390         }
391
392         status = gp_get_inheritance(gp_ctx, argv[0], &inheritance);
393         if (!NT_STATUS_IS_OK(status)) {
394                 DEBUG(0, ("Failed to set GPO link on container: %s\n", get_friendly_nt_error_msg(status)));
395                 return 1;
396         }
397
398         if (inheritance == GPO_BLOCK_INHERITANCE) {
399                 d_printf("container has GPO_BLOCK_INHERITANCE\n");
400         } else {
401                 d_printf("container has GPO_INHERIT\n");
402         }
403
404         talloc_free(gp_ctx);
405         return 0;
406 }
407
408 static int net_gpo_inheritance_set_usage(struct net_context *ctx, int argc, const char **argv)
409 {
410         d_printf("Syntax: net gpo setinheritance <container> <\"block\"|\"inherit\"> [options]\n");
411         d_printf("For a list of available options, please type net gpo setinheritance --help\n");
412         return 0;
413 }
414
415 static int net_gpo_inheritance_set(struct net_context *ctx, int argc, const char **argv)
416 {
417         struct gp_context *gp_ctx;
418         enum gpo_inheritance inheritance;
419         NTSTATUS status;
420
421         if (argc != 2) {
422                 return net_gpo_inheritance_set_usage(ctx, argc, argv);
423         }
424
425         if (strcmp(argv[1], "inherit") == 0) {
426                 inheritance = GPO_INHERIT;
427         } else if (strcmp(argv[1], "block") == 0) {
428                 inheritance = GPO_BLOCK_INHERITANCE;
429         } else {
430                 return net_gpo_inheritance_set_usage(ctx, argc, argv);
431         }
432
433         status = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
434         if (!NT_STATUS_IS_OK(status)) {
435                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(status)));
436                 return 1;
437         }
438
439         status = gp_set_inheritance(gp_ctx, argv[0], inheritance);
440         if (!NT_STATUS_IS_OK(status)) {
441                 DEBUG(0, ("Failed to set GPO link on container: %s\n", get_friendly_nt_error_msg(status)));
442                 return 1;
443         }
444
445         /* Display current links */
446         net_gpo_inheritance_get(ctx, 1, argv);
447
448         return 0;
449 }
450
451 static int net_gpo_fetch_usage(struct net_context *ctx, int argc, const char **argv)
452 {
453         d_printf("Syntax: net gpo fetch <container> [options]\n");
454         d_printf("For a list of available options, please type net gpo fetch --help\n");
455         return 0;
456 }
457
458 static int net_gpo_fetch(struct net_context *ctx, int argc, const char **argv)
459 {
460         struct gp_context *gp_ctx;
461         struct gp_object *gpo;
462         const char *path;
463         NTSTATUS rv;
464
465         if (argc != 1) {
466                 return net_gpo_fetch_usage(ctx, argc, argv);
467         }
468
469         rv = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
470         if (!NT_STATUS_IS_OK(rv)) {
471                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(rv)));
472                 return 1;
473         }
474
475         rv = gp_get_gpo_info(gp_ctx, argv[0], &gpo);
476         if (!NT_STATUS_IS_OK(rv)) {
477                 DEBUG(0, ("Failed to get GPO: %s\n", get_friendly_nt_error_msg(rv)));
478                 return 1;
479         }
480
481         rv = gp_fetch_gpt(gp_ctx, gpo, &path);
482         if (!NT_STATUS_IS_OK(rv)) {
483                 DEBUG(0, ("Failed to fetch GPO: %s\n", get_friendly_nt_error_msg(rv)));
484                 return 1;
485         }
486         d_printf("%s\n", path);
487
488         return 0;
489 }
490 static int net_gpo_create_usage(struct net_context *ctx, int argc, const char **argv)
491 {
492         d_printf("Syntax: net gpo create <displayname> [options]\n");
493         d_printf("For a list of available options, please type net gpo create --help\n");
494         return 0;
495 }
496
497 static int net_gpo_create(struct net_context *ctx, int argc, const char **argv)
498 {
499         struct gp_context *gp_ctx;
500         struct gp_object *gpo;
501         NTSTATUS rv;
502
503         if (argc != 1) {
504                 return net_gpo_create_usage(ctx, argc, argv);
505         }
506
507         rv = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
508         if (!NT_STATUS_IS_OK(rv)) {
509                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(rv)));
510                 return 1;
511         }
512
513         rv = gp_create_gpo(gp_ctx, argv[0], &gpo);
514         if (!NT_STATUS_IS_OK(rv)) {
515                 DEBUG(0, ("Failed to create GPO: %s\n", get_friendly_nt_error_msg(rv)));
516                 return 1;
517         }
518
519
520         return 0;
521 }
522
523 static int net_gpo_set_acl_usage(struct net_context *ctx, int argc, const char **argv)
524 {
525         d_printf("Syntax: net gpo setacl <dn> <sddl> [options]\n");
526         d_printf("For a list of available options, please type net gpo setacl --help\n");
527         return 0;
528 }
529
530 static int net_gpo_set_acl(struct net_context *ctx, int argc, const char **argv)
531 {
532         struct gp_context *gp_ctx;
533         struct security_descriptor *sd;
534         NTSTATUS rv;
535
536         if (argc != 2) {
537                 return net_gpo_set_acl_usage(ctx, argc, argv);
538         }
539
540         rv = gp_init(ctx, ctx->lp_ctx, ctx->credentials, ctx->event_ctx, &gp_ctx);
541         if (!NT_STATUS_IS_OK(rv)) {
542                 DEBUG(0, ("Failed to connect to DC's LDAP: %s\n", get_friendly_nt_error_msg(rv)));
543                 return 1;
544         }
545
546         /* Convert sddl to security descriptor */
547         sd = sddl_decode(gp_ctx, argv[1], samdb_domain_sid(gp_ctx->ldb_ctx));
548         if (sd == NULL) {
549                 DEBUG(0, ("Invalid SDDL\n"));
550                 return 1;
551         }
552
553         rv = gp_set_acl(gp_ctx, argv[0], sd);
554         if (!NT_STATUS_IS_OK(rv)) {
555                 DEBUG(0, ("Failed to set ACL on GPO: %s\n", get_friendly_nt_error_msg(rv)));
556                 return 1;
557         }
558
559         talloc_free(gp_ctx);
560         return 0;
561 }
562
563
564
565 static const struct net_functable net_gpo_functable[] = {
566         { "listall", "List all GPO's on a DC\n", net_gpo_list_all, net_gpo_list_all_usage },
567         { "list", "List all active GPO's for a machine/user\n", net_gpo_list, net_gpo_list_usage },
568         { "show", "Show information for a GPO\n", net_gpo_get_gpo, net_gpo_get_gpo_usage },
569         { "getlink", "List gPLink of container\n", net_gpo_link_get, net_gpo_link_get_usage },
570         { "setlink", "Link a GPO to a container\n", net_gpo_link_set, net_gpo_link_set_usage },
571         { "dellink", "Delete GPO link from a container\n", net_gpo_link_del, net_gpo_link_del_usage },
572         { "getinheritance", "Get inheritance flag from a container\n", net_gpo_inheritance_get, net_gpo_inheritance_get_usage },
573         { "setinheritance", "Set inheritance flag on a container\n", net_gpo_inheritance_set, net_gpo_inheritance_set_usage },
574         { "fetch", "Download a GPO\n", net_gpo_fetch, net_gpo_fetch_usage },
575         { "create", "Create a GPO\n", net_gpo_create, net_gpo_create_usage },
576         { "setacl", "Set ACL on a GPO\n", net_gpo_set_acl, net_gpo_set_acl_usage },
577         { NULL, NULL }
578 };
579
580 int net_gpo_usage(struct net_context *ctx, int argc, const char **argv)
581 {
582         d_printf("Syntax: net gpo <command> [options]\n");
583         d_printf("For available commands, please type net gpo help\n");
584         return 0;
585 }
586
587 int net_gpo(struct net_context *ctx, int argc, const char **argv)
588 {
589         return net_run_function(ctx, argc, argv, net_gpo_functable, net_gpo_usage);
590 }