VERSION: Mark as the beta7 release

WHATSNEW: prepare for 4.0 beta7

selftest: Fix comment in blackbox_s3upgrade.sh

s4-classicupgrade: Do the setting of the sysvol ACLs last, after idmap is configured

This will allow files to be correctly owned by the idmap that is imported.

This appears to fix an issue that came up after s3fs-compatible ACLs were
merged into provision.

Andrew Bartlett

s3-passdb: Allow reload of the static passdb from python

This is then used in provision when the passdb backend is forced.

Andrew Bartlett

auth/credentials: Rework credentials handling to try and find the most recent machine pw

As winbindd will update secrets.tdb but not secrets.ldb, we need to detect this and use secrets.tdb

Andrew Bartlett

selftest: Add test of smbclient --machine-pass against and using both s3 and s4

This uses both smbclient binaries to ensure that both work in both environments.

Andrew Bartlett

auth/credentials: Expand secrets.tdb fetch of secrets to preserve workstation and realm

These would otherwise be set during the fetch from the secrets.ldb, but are wiped when that fails.

Andrew Bartlett

s4-dsdb: Remove double-free in update_keytab module

s4-dsdb: Add secrets_tdb_sync - an ldb module to keep secrets.tdb in sync

secrets_tdb_sync is a new ldb module designed to sync secrets.ldb
entries with the secrets.tdb file.

While not ideal to keep two copies of this data, this routine will
assist in allowing the samba-tool domain join code to operate
correctly in most cases where winbindd and smbd are used.

Andrew Bartlett

s3-secrets: Use talloc_stackframe() in secrets_init_path()

s3-secrets: Handle all valid ROLE_ values in get_default_sec_channel()

s3-secrets: Add helper function to set machine account password from secrets_tdb_sync

secrets_tdb_sync will be a new ldb module designed to sync secrets.ldb
entries with the secrets.tdb file.

While not ideal to keep two copies of this data, this routine will
assist in allowing the samba-tool domain join code to operate
correctly in most cases where winbindd and smbd are used.

Andrew Bartlett

lib/krb5_wrap: Move enctype conversion functions into a simple helper file

s4-classicupgrade: Read WINS DB before the provision

s4-classicupgrade: Do all the queries of data before the provision()

This allows provision to change the s3 smb.conf settings if required.

Andrew Bartlett

s4-classicupgrade: Use s3param.get_context() instead of result.lp

We should not need the guessed values here, but by changing to using the s3 loadparm context
we can move this block to before the provision.

Andrew Bartlett

lib/krb5_wrap: Move kerberos_enctype_to_bitmap() into krb5_wrap

lib/krb5_wrap: Bring list of all enc types into krb5_wrap

s4-libnet: Ensure termination of enctype array in libnet_export_keytab()

examples: Remove security=share and security=server from example smb.conf

s3-param: Avoid assert on use of talloc_tos() without stackframe

This is hit during samba-tool domain classicupgrade

Andrew Bartlett

s4-torture: Test for #9058

Signed-off-by: Stefan Metzmacher <metze@samba.org>
Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Mon Aug 27 17:43:09 CEST 2012 on sn-devel-104

s4:winbind: let wb_update_rodc_dns_send/recv use netlogon_queue (bug #9097)

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sat Aug 25 05:06:18 CEST 2012 on sn-devel-104

s4:winbind: let wb_sam_logon_send/recv() use the netlogon_queue (bug #9097)

metze

s4:winbind: add a netlogon_queue (tevent_queue)

This will protect the netlogon_creds later.

metze

s4:winbind: convert wb_update_rodc_dns_send/recv to tevent_req

metze

s4:winbind: convert wb_sam_logon_send/recv to tevent_req

metze

s4:winbind: convert wb_sid2domain to tevent_req internally

The public wrapper still uses composite_context, because I don't
have time to fix all the callers...

metze

s4:librpc/rpc: don't do async requests if gensec doesn't support async replies (bug #9097)

metze

s4:librpc/rpc: also call dcerpc_schedule_io_trigger() after bind and alter_context responses

metze

s4:librpc/rpc: use dcerpc_req_dequeue() in dcerpc_request_recv_data()

metze

s4:librpc/rpc: use talloc_zero for 'struct rpc_request'

metze

libcli/smb: split out a smb_transport private library

metze

libcli/smb: wscript_build => wscript

We'll need some configure checks in future.

metze

Remove useless bool "upper_case_domain" parameter from ntv2_owf_gen().

The code in SMBNTLMv2encrypt_hash() should not be requesting case
changes on the domain name.

Autobuild-User(master): Jeremy Allison <jra@samba.org>
Autobuild-Date(master): Fri Aug 24 21:39:42 CEST 2012 on sn-devel-104

Remove useless bool "upper_case_domain" parameter.

Move uppercasing the domain out of smb_pwd_check_ntlmv2()

Allows us to remove a silly bool parameter.

Based on work done by "Blohm, Guntram (I/FP-37, extern)" <extern.guntram.blohm@audi.de>.

s3:lib: make sure we don't try to send messages to server_id's marked as disconnected

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Fri Aug 24 15:54:48 CEST 2012 on sn-devel-104

s3:lib: remove unused processes_exist()

metze

s3:lib: readd the CTDB_CONTROL_CHECK_SRVIDS optimization to serverids_exist()

metze

s3:lib: only loop over the server_ids we need to verify in serverids_exist()

metze

s3:lib: use server_id_is_disconnected() in serverids_exist()

metze

s3:lib: inline processes_exist() into serverids_exist()

metze

s3:lib: SERVERID_UNIQUE_ID_NOT_TO_VERIFY only means not to verify the 'unique_id' part

It doesn't mean the the server_id is always valid.

metze

lib/util: don't SMB_ASSERT() in process_exists_by_pid()

Just return false...

metze

s3:lib: implement process_exists() as wrapper of serverid_exists()

The changes the behavior of process_exists() it checks the pid.unique_id
now, if it's not SERVERID_UNIQUE_ID_NOT_TO_VERIFY.

metze

s3:g_lock: use serverid_exists() with SERVERID_UNIQUE_ID_NOT_TO_VERIFY

metze

s3:lib: implement serverid_exists() as wrapper of serverids_exist()

metze

s3:lib: remove CTDB_CONTROL_CHECK_SRVIDS optimization in serverids_exist() for now

This will be readded...

metze

lib/param: fix usage of 'write list = +Group'

metze

Autobuild-User(master): Björn Jacke <bj@sernet.de>
Autobuild-Date(master): Fri Aug 24 11:28:17 CEST 2012 on sn-devel-104

s3: fix compile warning on openindiana

Autobuild-User(master): Björn Jacke <bj@sernet.de>
Autobuild-Date(master): Thu Aug 23 18:22:13 CEST 2012 on sn-devel-104

crypto/aes_ccm_128: fix compile warning on openindiana

s3/registry: fix compile warning on openindiana

s4-selftest: Always set vfs objects in selftest smb.conf

This sets it for all enviornments, as it is harmless if ntvfs is used
and critical if the provision script runs in s3fs mode.

Andrew Bartlett

Autobuild-User(master): Andrew Bartlett <abartlet@samba.org>
Autobuild-Date(master): Thu Aug 23 16:42:41 CEST 2012 on sn-devel-104

s4-selftest: Add test for samba-tool ntacl sysvolcheck

s4-samba-tool: Add samba-tool ntacl sysvolcheck command

This command verifies that the current on-disk ACLs match the directory and
the defaults from provision.

Unlike sysvolreset, this does not change any of the permissions.

Andrew Bartlett

s3-smbd: Add security_info_wanted argument to get_nt_acl_no_snum

I need to get at the owner, group, DACL and SACL when testing correct
ACL storage.

Andrew Bartlett

s3-pysmbd: Fix return type of smbd.get_nt_acl

The security_ prefix is stripped off in the python bindings.

Andrew Bartlett

s3-smbd: Add talloc_stackframe() to get_nt_acl_no_snum()

This is required because the functions it calls use talloc_tos().

Andrew Bartlett

s4-selftest: Add testing of samba-tool ntacl sysvolreset

param: Add startup checks for valid server role/binary combinations

This should eliminate confusion from our users about what they can
expect to successfully run.

Andrew Bartlett

s3-pysmbd: Fix error message

s4-provision: Fix internal documentation

s3-pysmbd: Allow a mode to be specified for the simple ACL

The additional group for the ACL is now optional.

Andrew Bartlett

s4-samba-tool: Add 'samba-tool ntacl sysvolreset' tool

This will reset the NT ACL on the sysvol share to the default from
provision, with GPO objects matching the LDAP ACL (as required).

Andrew Bartlett

selftest: Add a test of the NT ACL -> posix ACL mapping layer to selftest

selftest: Cope with the multiple possible representations of -1 in posixacl.py

selftest: Extend posixacl test to check the actual ACL

Needing to be able to write this test is the primary reason I have
been reworking the VFS and posix ACL layer over the past few weeks.
By exposing the POSIX ACL as a IDL object we can eaisly manipulate it
in python, and then verify that the ACL was handled correctly.

This ensures the when we write an ACL in provision, that it will
indeed allow that access at the FS layer.

We need to extend this beyond just the critical two ACLs set during
provision, to also include some special (hard) cases involving the
merging of ACE entries, as this is the most delicate part of the ACL
transfomation.

A similar test should also be written to read the posix ACL and the
mapped NT ACL on a file that has never had an NT ACL set.

Andrew Bartlett

selftest: Add a test of the NT ACL -> posix ACL mapping layer

This is the start of what will be a series of tests confirming exactly how
some NT ACLs are mapped to posix ACLs.

Andrew Bartlett

s4-scripting: Redefine getntacl() as accessing via the smbd VFS or directly

This allows us to write tests that compare the smbd vfs with what is
in the DB or xattr.

Andrew Bartlett

s4-provision: set POSIX ACLs to for use with the smbd file server (s3fs)

This handles the fact that smbd will rarely override the POSIX ACL enforced by
the kernel.  This has caused issues with the creation of group policies by
other members of the Domain Admins group.

Andrew Bartlett

file_server: Move default VFS module settings to loadparm.c

This means that any utility that calls into the VFS layer will get the
right modules.

Because we use the fake_acls backend we need to override this whole
list in Samba4.pm however.

Andrew Bartlett

s4-dsdb: Remove unused variables

s4-dsdb: Do not use a possibly-old loadparm context in schema reload

The loadparm context on the schema DB might have gone away already.
Pre-cache the schema refresh interval at load time to avoid worrying
about this.

Andrew Bartlett

s4-upgradeprovision: Use ntvfs in reference provision

We do not need filesystem ACLs set when creating the reference provision, so it is
easier to use the NTVFS backend as it does not cause trouble with make test.

Andrew Bartlett

selftest: Set --use-ntvfs for rodc, vampire_dc, promoted_vampire_dc and subdom_dc

selftest: Specify --use-ntvfs when testing the group code

We do not need to set filesystem ACLs in this case.

Andrew Bartlett

selftest: Specify --use-ntvfs when testing the newuser code

We do not need to set filesystem ACLs in this case.

Andrew Bartlett

selftest: Specify --use-ntvfs when testing the LDAP backend init code

We do not need to set filesystem ACLs in this case.

Andrew Bartlett

selftest: Specify --use-ntvfs for the chdcpass environment

s3:smb2_break: encrypt OPLOCK BREAK notifications

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Thu Aug 23 10:01:14 CEST 2012 on sn-devel-104

s3:smb2_server: use smbXsrv_session->nonce_*

metze

smbXsrv.idl: add nonce_* to smbsrv_session

metze

s3:smb2_server: remove dump_data() from smbd_smb2_request_pending_timer()

This was just for debugging...

metze

Extending space for fqdn in wbinfo --trusted-domains in verbose mode

Microsoft documentation states that maximum fqdn length is 64 characters, so extending DNS Domain column to 65 characters.

Signed-off-by: Jeremy Allison <jra@samba.org>
Autobuild-User(master): Jeremy Allison <jra@samba.org>
Autobuild-Date(master): Thu Aug 23 03:49:00 CEST 2012 on sn-devel-104

Remove align_string(). No longer used.

Autobuild-User(master): Jeremy Allison <jra@samba.org>
Autobuild-Date(master): Wed Aug 22 20:38:50 CEST 2012 on sn-devel-104

Fix bug in SMB_FIND_INFO_STANDARD parsing found by Volker.

The function align_string() is now broken as base_ptr no longer
points at the start of the SMB data packet, but
at the start of the returned TRANS2 data area.

Replace it with a check for FLAGS2_UNICODE_STRINGS and
a call to ucs2_align().

s4-python: Complete python bindings for idmap.idl

Autobuild-User(master): Andrew Bartlett <abartlet@samba.org>
Autobuild-Date(master): Wed Aug 22 03:08:51 CEST 2012 on sn-devel-104

s3-pysmbd: Correct the python type for smb_acl_t

The t is weird, but the python bindings trim the traditional IDL name
prefix of each element, as it is usually rudundent.

Andrew Bartlett

s4-python: complete python bindigns for smb_acls.idl

s3-vfs: Remove extra calls to SMB_VFS_HANDLE_GET_DATA

Found by the talloc_stackframe() out of order checker!

Andrew Bartlett

selftest: Pass --use-ntvfs to provison in renamedc test

Also fix test prefix to match the test

Andrew Bartlett

selftest: Specify --use-ntvfs to provision in test scripts

Because these run as non-root, we need to avoid doing things that will
fail during the provision.  The main test of the s3fs provision is the
plugin_s4_dc environment with a smb.conf that specifies vfs_fake_acls.

Andrew Bartlett

s4-classicupgrade: Add --use-ntvfs option

This is an odd option, but is needed because I wish to add assertions about
ACL setting that will not work in make test without the vfs_fake_acls module
loaded.

Andrew Bartlett

s4-provision: pass use_ntvfs from C wrappers and set to true in tests/vampire

None of these cases need the complexity of the s3fs backend.

Andrew Bartlett

s4:samldb LDB module - remove unused "member" attribute from search filter

Signed-off-by: Andrew Bartlett <abartlet@samba.org>

LDB:ldb_tdb.c - deny multi-valued attributes manipulation with doublets

This refers to LDB add operations as well, we have only to be careful on
"@ATTRIBUTES" entries.

E.g.

dn: cn=testperson,cn=users,dc=...,dc=...
objectClass: person
url: www.example.com
url: www.example.com

should not work.

Signed-off-by: Andrew Bartlett <abartlet@samba.org>

LDB:ldbsearch - add search filter tests

Signed-off-by: Andrew Bartlett <abartlet@samba.org>

LDB:ldbsearch - search filters do not only contain "="

Also "<=", ">=", "~"... are allowed as well. Enumeration taken from
ldb_parse_filtertype().
This was the cause of not identifying the search filter as described in bug
https://bugzilla.samba.org/show_bug.cgi?id=8647.

Signed-off-by: Andrew Bartlett <abartlet@samba.org>