s4-auth: allow to create unix token from system session info
[sfrench/samba-autobuild/.git] / source4 / auth / unix_token.c
1 /*
2    Unix SMB/CIFS implementation.
3
4    Deal with unix elements in the security token
5
6    Copyright (C) Andrew Tridgell 2004
7    Copyright (C) Andrew Bartlett 2011
8
9    This program is free software; you can redistribute it and/or modify
10    it under the terms of the GNU General Public License as published by
11    the Free Software Foundation; either version 3 of the License, or
12    (at your option) any later version.
13
14    This program is distributed in the hope that it will be useful,
15    but WITHOUT ANY WARRANTY; without even the implied warranty of
16    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
17    GNU General Public License for more details.
18
19    You should have received a copy of the GNU General Public License
20    along with this program.  If not, see <http://www.gnu.org/licenses/>.
21 */
22
23 #include "includes.h"
24 #include "auth/auth.h"
25 #include "libcli/wbclient/wbclient.h"
26 #include "param/param.h"
27
28 #undef DBGC_CLASS
29 #define DBGC_CLASS DBGC_AUTH
30
31 /*
32   form a security_unix_token from the current security_token
33 */
34 NTSTATUS security_token_to_unix_token(TALLOC_CTX *mem_ctx,
35                                       struct security_token *token,
36                                       struct security_unix_token **sec)
37 {
38         uint32_t s, g;
39         NTSTATUS status;
40         struct id_map *ids;
41         bool match;
42
43         match = security_token_is_system(token);
44         if (match) {
45                 /*
46                  * SYSTEM user uid and gid is 0
47                  */
48
49                 *sec = talloc_zero(mem_ctx, struct security_unix_token);
50                 if (*sec == NULL) {
51                         return NT_STATUS_NO_MEMORY;
52                 }
53
54                 return NT_STATUS_OK;
55         }
56
57         /* we can't do unix security without a user and group */
58         if (token->num_sids < 2) {
59                 return NT_STATUS_ACCESS_DENIED;
60         }
61
62         *sec = talloc_zero(mem_ctx, struct security_unix_token);
63         if (*sec == NULL) {
64                 return NT_STATUS_NO_MEMORY;
65         }
66
67         ids = talloc_zero_array(mem_ctx, struct id_map, token->num_sids);
68         NT_STATUS_HAVE_NO_MEMORY(ids);
69
70         for (s=0; s < token->num_sids; s++) {
71                 ids[s].sid = &token->sids[s];
72                 ids[s].status = ID_UNKNOWN;
73         }
74
75         status = wbc_sids_to_xids(ids, token->num_sids);
76         NT_STATUS_NOT_OK_RETURN(status);
77
78         g = token->num_sids;
79         if (ids[0].xid.type != ID_TYPE_BOTH) {
80                 g--;
81         }
82         (*sec)->ngroups = g;
83         (*sec)->groups = talloc_array(*sec, gid_t, (*sec)->ngroups);
84         NT_STATUS_HAVE_NO_MEMORY((*sec)->groups);
85
86         g=0;
87         if (ids[0].xid.type == ID_TYPE_BOTH) {
88                 (*sec)->uid = ids[0].xid.id;
89                 (*sec)->groups[g] = ids[0].xid.id;
90                 g++;
91         } else if (ids[0].xid.type == ID_TYPE_UID) {
92                 (*sec)->uid = ids[0].xid.id;
93         } else {
94                 char *sid_str = dom_sid_string(mem_ctx, ids[0].sid);
95                 DEBUG(0, ("Unable to convert first SID (%s) in user token to a UID.  Conversion was returned as type %d, full token:\n",
96                           sid_str, (int)ids[0].xid.type));
97                 security_token_debug(DBGC_AUTH, 0, token);
98                 talloc_free(sid_str);
99                 return NT_STATUS_INVALID_SID;
100         }
101
102         if (ids[1].xid.type == ID_TYPE_BOTH ||
103             ids[1].xid.type == ID_TYPE_GID) {
104                 (*sec)->gid = ids[1].xid.id;
105                 (*sec)->groups[g] = ids[1].xid.id;
106                 g++;
107         } else {
108                 char *sid_str = dom_sid_string(mem_ctx, ids[1].sid);
109                 DEBUG(0, ("Unable to convert second SID (%s) in user token to a GID.  Conversion was returned as type %d, full token:\n",
110                           sid_str, (int)ids[1].xid.type));
111                 security_token_debug(DBGC_AUTH, 0, token);
112                 talloc_free(sid_str);
113                 return NT_STATUS_INVALID_SID;
114         }
115
116         for (s=2; s < token->num_sids; s++) {
117                 if (ids[s].xid.type == ID_TYPE_BOTH ||
118                     ids[s].xid.type == ID_TYPE_GID) {
119                         (*sec)->groups[g] = ids[s].xid.id;
120                         g++;
121                 } else {
122                         char *sid_str = dom_sid_string(mem_ctx, ids[s].sid);
123                         DEBUG(0, ("Unable to convert SID (%s) at index %u in user token to a GID.  Conversion was returned as type %d, full token:\n",
124                                   sid_str, (unsigned int)s, (int)ids[s].xid.type));
125                         security_token_debug(DBGC_AUTH, 0, token);
126                         talloc_free(sid_str);
127                         return NT_STATUS_INVALID_SID;
128                 }
129         }
130
131         DEBUG(5, ("Successfully converted security token to a unix token:"));
132         security_token_debug(0, 5, token);
133         TALLOC_FREE(ids);
134
135         return NT_STATUS_OK;
136 }
137
138 /*
139   Fill in the auth_user_info_unix and auth_unix_token elements in a struct session_info
140 */
141 NTSTATUS auth_session_info_fill_unix(struct loadparm_context *lp_ctx,
142                                      const char *original_user_name,
143                                      struct auth_session_info *session_info)
144 {
145         char *su;
146         size_t len;
147         NTSTATUS status = security_token_to_unix_token(session_info,
148                                                        session_info->security_token,
149                                                        &session_info->unix_token);
150         if (!NT_STATUS_IS_OK(status)) {
151                 return status;
152         }
153
154         session_info->unix_info = talloc_zero(session_info, struct auth_user_info_unix);
155         NT_STATUS_HAVE_NO_MEMORY(session_info->unix_info);
156
157         session_info->unix_info->unix_name = talloc_asprintf(session_info->unix_info,
158                                                              "%s%s%s", session_info->info->domain_name,
159                                                              lpcfg_winbind_separator(lp_ctx),
160                                                              session_info->info->account_name);
161         NT_STATUS_HAVE_NO_MEMORY(session_info->unix_info->unix_name);
162
163         len = strlen(original_user_name) + 1;
164         session_info->unix_info->sanitized_username = su = talloc_array(session_info->unix_info, char, len);
165         NT_STATUS_HAVE_NO_MEMORY(su);
166
167         alpha_strcpy(su, original_user_name,
168                      ". _-$", len);
169
170         return NT_STATUS_OK;
171 }