selftest: Do not run symbol check if setting up testenv

Autobuild-User: Amitay Isaacs <amitay@samba.org>
Autobuild-Date: Fri Jan 13 03:11:20 CET 2012 on sn-devel-104

Add comments to all functions (to help me understand it better).

Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Fri Jan 13 01:35:03 CET 2012 on sn-devel-104

s3: Fix nested get_share_mode_lock calls

This forces us to only do one real get_share_mode_lock call and
share the data between the nested get_share_mode_lock calls.

Signed-off-by: Jeremy Allison <jra@samba.org>

s3: Move the share_mode_lock handling to its own file

Signed-off-by: Jeremy Allison <jra@samba.org>

s3: Put an indirection layer into share_mode_lock

Signed-off-by: Jeremy Allison <jra@samba.org>

s3: Introduce get_share_mode_lock_fresh()

This slightly simplifies the code path for all callers which assume
that a share mode exists already. Only the callers in open_file_ntcreate
and open_directory will ever create new share modes.

Signed-off-by: Jeremy Allison <jra@samba.org>

s3: Replace fill_share_mode_lock()

This replaces fill_share_mode_lock() with the two routines
fresh_share_mode_lock() and parse_share_modes(). This lifts the
decision whether a share mode already existed on level up.

Signed-off-by: Jeremy Allison <jra@samba.org>

s4:repl_cleartext_pwd.py: add optional 'clear_utf16_name' parameter

Not all cleartext password (machine passwords) can be converted to utf8,
let's export the raw uint16_t array.

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Thu Jan 12 23:58:12 CET 2012 on sn-devel-104

s4:repl_cleartext_pwd.py: add 'attmode' parameter to convert the attname to utf8

metze

s4:repl_cleartext_pwd.py: correctly compare attids as uint32_t values

metze

s3-waf: auth_netlogond depends on tldap.

Autobuild-User: Andreas Schneider <asn@cryptomilk.org>
Autobuild-Date: Thu Jan 12 17:33:10 CET 2012 on sn-devel-104

s3-waf: link SECRETS3 only against samba3util.

s3-waf: Create a smaller samba3util subsystem.

s4:pygensec/tests: add test for gensec_set_max_update_size()

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Thu Jan 12 14:47:05 CET 2012 on sn-devel-104

s4:auth/gensec/spnego: add support for fragmented spnego messages

metze

s4:pygensec: add set_max_update_size() and max_update_size() functions

metze

auth/gensec: add gensec_*max_update_size()

This is only a hint for the backend, which may want to fragment
update tokens.

metze

s3: Split a line with 1 statements

Autobuild-User: Volker Lendecke <vlendec@samba.org>
Autobuild-Date: Thu Jan 12 13:10:19 CET 2012 on sn-devel-104

s3:smbd: explicitly ask for GENSEC_FEATURE_UNIX_TOKEN

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Thu Jan 12 11:22:53 CET 2012 on sn-devel-104

Revert "make paranoia check less paranoid" - check that key types strictly match

This reverts commit c25af51232616061bb08eea86aae595b4f029490 because
otherwise we could attempt to check a CKSUMTYPE_HMAC_SHA1_96_AES_256 key with a
KRB5_ENCTYPE_ARCFOUR_HMAC_MD5 key.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Thu Jan 12 09:43:07 CET 2012 on sn-devel-104

make hmac-md5 the keyed checksum type for arcfour-hmac-md5

use ETYPE_DES3_CBC_SHA1 for the verify step in verify_mic_des3

This allows a strict link between checksum types and key types to be
enforced.

Andrew Bartlett

heimdal: remove checking of KDC PAC signature, delegate to wdc plugin

The checking of the KDC signature is more complex than it looks, it may be of a different
enc type to that which the ticket is encrypted with, and may even be prefixed
with the RODC number.

This is better handled in the plugin which can easily look up the DB for the
correct key to verify this with, and can also quickly determine if this is
an interdomain trust, which we cannot verify the PAC for.

Andrew Bartlett

auth/kerberos: Remove unused TALLOC_CTX argument to check_pac_checksum

s4-kdc Do the KDC PAC checksum validation in the Samba plugin

Here we can fetch the right key, and check if the PAC is likely to be signed by a key that
we know.  We cannot check the KDC signature on incoming trusts.

Andrew Bartlett

s4-kdc: use IDL constant NETLOGON_GENERIC_KRB5_PAC_VALIDATE

samba-tool:dns: DNS names are case insensitive

Autobuild-User: Amitay Isaacs <amitay@samba.org>
Autobuild-Date: Thu Jan 12 06:43:01 CET 2012 on sn-devel-104

s4-rpc:dnsserver: DNS names are case insensitive

Ensure we always free aio_ex on all error paths by moving the TALLOC_FREE
call out of smbd_aio_complete_aio_ex() and into the caller.

Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Thu Jan 12 03:10:52 CET 2012 on sn-devel-104

Second part of fix for bug #8673 - NT ACL issue.

Ensure we process the entire ACE list instead of returning ACCESS_DENIED
and terminating the walk - ensure we only return the exact bits that cause
the access to be denied. Some of the S3 fileserver needs to know if we
are only denied DELETE access before overriding it by looking at the
containing directory ACL.

Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Wed Jan 11 19:24:53 CET 2012 on sn-devel-104

First part of fix for bug #8673 - NT ACL issue.

Simplify the logic in the unlink/rmdir calls - makes it readable
(and correct).

lib/param: avoid talloc_reference() in copy_service()

The memory reduction compared of talloc_reference() over talloc_strdup()
is typically very low. As the strings are typically short compared
to the talloc header overhead.

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Wed Jan 11 16:13:50 CET 2012 on sn-devel-104

s3-rpcclient: add deldriverex flags argument

The spoolss DeletePrinterDriverEx command offers three flags for
controlling how associated files and other versions of the driver are
effected: DPD_DELETE_UNUSED_FILES (1), DPD_DELETE_SPECIFIC_VERSION (2)
and DPD_DELETE_ALL_FILES (4).

This commit adds an optional numeric flags argument to the rpcclient
deldriverex command.

Signed-off-by: David Disseldorp <ddiss@samba.org>
Signed-off-by: Andreas Schneider <asn@samba.org>
Autobuild-User: David Disseldorp <ddiss@samba.org>
Autobuild-Date: Wed Jan 11 14:39:35 CET 2012 on sn-devel-104

spoolss: fix DPD_DELETE_ALL_FILES error return

If DeletePrinterDriverEx is called with DPD_DELETE_ALL_FILES and files
assigned to the to-be-deleted driver overlap with other drivers then an
error is returned. Change the error code here to match Windows 2k8r2.

Signed-off-by: David Disseldorp <ddiss@samba.org>
Signed-off-by: Andreas Schneider <asn@samba.org>

s4:auth: Make sure to check the optional auth_context hooks before using them

These are optional to supply - some callers only provide an auth_context for the
other plugin functions, and so we need to deal with this cleanly.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>
Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Wed Jan 11 10:49:13 CET 2012 on sn-devel-104

gensec: Make sure to check the optional auth_context hooks before using them

These are optional to supply - some callers only provide an auth_context for the
other plugin functions, and so we need to deal with this cleanly.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

gensec: Rename want_flags and got_flags in gensec_gssapi

This make it clearer what type of flags these are.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

gensec: make gensec_gssapi.h common

This will make it easier to share elements of the GSSAPI gensec mechs,
in much the same way elements of the NTLMSSP mech are shared.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc Supply target service and server to spnego_generic_init_client()

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc: Rename spnego_ntlmssp_init_client and make generic

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-libsmb: split out auth_generic client functions into auth_generic.c

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc: rename get_ntlmssp_auth_footer to be more generic

This can handle any gensec auth type now.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc Set target service and server into gensec

This will allow cli_rpc_pipe_open_generic_auth() to handle kerberos mechanisms.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc Rename and rework cli_rpc_pipe_open_ntlmssp() to be generic

This also includes renaming the helper function
rpccli_ntlmssp_bind_data, and allows this function to operate on any
gensec-supplied auth type.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc Rename create_ntlmssp_auth_rpc_bind_req() to be more generic

Signed-off-by: Stefan Metzmacher <metze@samba.org>

gensec: move gensec_util.c to the top level

To do this some defines need to move to common_auth.h

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

auth: make auth4_context common to provide access to generate_session_info_pac()

By providing this context, a function pointer for
generate_session_info_pac() can be inserted into gensec, allowing the
s3 PAC processing in an otherwise more generic gensec module.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

auth/kerberos: Remove unused headers from gssapi_parse.c

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc Return user principal name on supplied mem_ctx

Signed-off-by: Stefan Metzmacher <metze@samba.org>

krb5: Require gss_get_name_attribute or Heimdal's PAC parsing to build with krb5

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Tue Jan 10 23:23:07 CET 2012 on sn-devel-104

krb5: Require krb5_string_to_key be available to build with krb5

krb5: Require krb5_set_real_time is available to build with krb5

krb5: Require krb5_principal_compare_any_realm be available to build with krb5

krb5: Require krb5_get_renewed_creds be available to build with krb5

krb5: Remove now unused checks for krb5_verify_checksum

krb5: Require krb5_get_init_creds_opt_alloc/free for build with krb5

This also assumes the modern API with a krb5_context argument.

Andrew Bartlett

krb5: Require krb5_fwd_tgt_creds to be available to build with krb5

krb5: Require krb5_get_host_realm and krb5_free_host_realm be available to build with krb5

krb5: Require krb5_c_verify_checksum is available to build with krb5

krb5: Require krb5_c_enctype_compare is available to build with krb5

s4:provision: add "+dns" to server services if the dns backend is SAMBA_INTERNAL

Signed-off-by: Kai Blin <kai@samba.org>
Autobuild-User: Kai Blin <kai@samba.org>
Autobuild-Date: Tue Jan 10 21:17:45 CET 2012 on sn-devel-104

s4:provision: add a server services line to the smb.conf template for the dc

Signed-off-by: Kai Blin <kai@samba.org>

s4:provision: add the possibility to provision "server services" in smb.conf

Signed-off-by: Kai Blin <kai@samba.org>

s4:provision: improve a message

Signed-off-by: Kai Blin <kai@samba.org>

samba: check for AES encryption type defines.

Guenther

Autobuild-User: Günther Deschner <gd@samba.org>
Autobuild-Date: Tue Jan 10 15:05:38 CET 2012 on sn-devel-104

talloc/testsuite: fix compiler warnings

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Tue Jan 10 13:31:33 CET 2012 on sn-devel-104

s3-aio_pthread: Fix the build

Autobuild-User: Volker Lendecke <vlendec@samba.org>
Autobuild-Date: Tue Jan 10 11:54:01 CET 2012 on sn-devel-104

s3-aio_pthread: Make "pd_list" static

s4:python tests __init__.py - do not depend on "subprocess.check_call()"

Method not present in Python 2.4

Reviewed-by: Jelmer
Autobuild-User: Matthias Dieter Wallnöfer <mdw@samba.org>
Autobuild-Date: Tue Jan 10 00:41:59 CET 2012 on sn-devel-104

s4:python tests __init__.py - do not depend on "subprocess.CalledProcessError"

The class is not present in Python 2.4

Reviewed-by: Jelmer

s3: Remove an unused label

Autobuild-User: Volker Lendecke <vlendec@samba.org>
Autobuild-Date: Mon Jan  9 23:07:32 CET 2012 on sn-devel-104

s4:scripting/devel: add repl_cleartext_pwd.py script

This is useful to sync passwords from an AD domain.

 $
 $ source4/scripting/devel/repl_cleartext_pwd.py \
  -Uadministrator%A1b2C3d4 \
  172.31.9.219 DC=bla,DC=base /tmp/cookie cleartext_utf8 131085 displayName
 # starting at usn[0]
 dn: CN=Test User1,CN=Users,DC=bla,DC=base
 cleartext_utf8: A1b2C3d4
 displayName:: VABlAHMAdAAgAFUAcwBlAHIAMQA=

 # up to usn[16449]
 $
 $ source4/scripting/devel/repl_cleartext_pwd.py \
  -Uadministrator%A1b2C3d4
  172.31.9.219 DC=bla,DC=base /tmp/cookie cleartext_utf8 131085 displayName
 # starting at usn[16449]
 # up to usn[16449]
 $

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Mon Jan  9 19:06:06 CET 2012 on sn-devel-104

s4-kerberos: remove some unused prototypes.

These are defined in the krb5 abstraction headers elsewhere.

Guenther

Autobuild-User: Günther Deschner <gd@samba.org>
Autobuild-Date: Mon Jan  9 14:32:08 CET 2012 on sn-devel-104

s3-waf: rpcclient does not need libads.so.

Guenther

Autobuild-User: Günther Deschner <gd@samba.org>
Autobuild-Date: Mon Jan  9 12:06:06 CET 2012 on sn-devel-104

s3-passdb: remove a forward declaration.

Guenther

s3-libads: pretty print a keytab list.

Guenther

s3-pdbtest: only test trusted domains when pdb backends offers trusted domain support.

Guenther

s3-libads: fix malloc/talloc mismatch in ads_keytab_verify_ticket().

Guenther

s4:python/samba/ndr.py: add an optional 'allow_remaining' to ndr_unpack()

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Mon Jan  9 10:28:30 CET 2012 on sn-devel-104

pidl:Samba4/Python: add an optional 'allow_remaining' argument to __ndr_unpack__() hooks

Thanks to Amitay Isaacs <amitay@gmail.com> for the help with this.

metze

s3-build: Remove unused hooks to set smbtorture4 and test args

These were left around after the selftest.pl script was introduced.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Mon Jan  9 06:13:21 CET 2012 on sn-devel-104

auth/credentials Remove debug that prints in normal operation

The fact that this function is unimplemented is unimportant to the callers
as credential caches are not handled via the auth/credentials code in s3.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Mon Jan  9 03:24:36 CET 2012 on sn-devel-104

s3-libsmb: Do not look up FQDN or use host/ for krb5 encrypted CIFS

This is important, as we want to use exactly the same name and ticket
that the libsmb session setup code used, so we do not hit the KDC twice.

For the session setup to have succeded using the default 'client use
spnego principal = no', the cifs/ principal must exist anyway, so
looking for host/ is pointless.  The case of 'client use spnego
principal = yes' was never supported here.

Andrew Bartlett

s3-sefltest Make krb5 tests contain the word krb5

s3-selftst Add encrypted CIFS testing with kerberos

s3-libsmb: match the rest of Samba3 in kerberos name selection in smb sealing

This mirrors 860ad734ba77238d187520f72afcbdc1c73d94ef which in turn
mirrors the behaviour of the libsmb client code at session setup time.

Andrew Bartlett

s3-selftest: Add test for smbclient kerberos support

s3-build SMBTORTRUE4 variable is unused in make test

s3-build SAMBA4SHAREDIR is unused in make test

s3-build: smbtorture4 can be built regardless of use_ads

s3-selftest: remove smb4torture_possible and add have_ads_support

The smb4torture_possible check has already been hidden in
plansmbtorturetestsuite to reduce extra complexity and indentation.

The have_ads_support check will allow ADS tests to be run when we
do not have the ability to run smbtorture4

Andrew Bartlett

s3-selftest Hide smb4torture_possible inside plansmbtorturetestsuite()

Add "repack" command to tdbtool.

Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Sat Jan  7 02:18:41 CET 2012 on sn-devel-104

Remove the commented out code.

Comment out sys_get_number_of_cores() as we're no longer using this.

Add "aio num threads" parameter to allow manual configuration of
threads via smb.conf if required. Ignore the number of cores. See
comments inline.

Fix format warning message.

s3: Avoid a potential alignment requirement issue

Autobuild-User: Volker Lendecke <vlendec@samba.org>
Autobuild-Date: Fri Jan  6 18:58:11 CET 2012 on sn-devel-104

s3: Avoid a potential alignment requirement issue

s3: Use DELETE_ON_CLOSE instead of unlink