s4/drs: schema_prefixMap to/from drsuapi_prefixMap conversion implementation

Along with this, dsdb_schema_pfm_contains_drsuapi_pfm()
function is implemented to replace previous implementation
for dsdb_verify_oid_mappings_drsuapi().
Name of the function clearly implies how week this verification is,
as currently it is used to indicate "Schema modified on remote"
condition.

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4/drs(tort): test for schema_prefixMap to/from drsuapi_prefixMap conversion

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4/drs(tort): implement prefixMap comparison function

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4/drs: Implement binary-oid-lookup into prefixMap

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4/drs: Move making of partial-binary-oid to a separate function

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4/drs: Fix memory leek in prefixMap

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4/ldb: Fix double allocation for "ldb_url"

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s4:torture/drs: move intern/ => unit/

metze

Revert "s3-kerberos: add smb_krb5_parse_name_flags()."

This reverts commit 17ef153b68795fec681f9ce17c198236aba2b1c2.

s3-kerberos: support S4U2SELF impersionation through cli_krb5_get_ticket().

Guenther

s3-kerberos: use smb_krb5_get_credentials in ads_krb5_mk_req.

Guenther

s3-kerberos: modify cli_krb5_get_ticket to take a new impersonate_princ_s arg.

Guenther

s3-net: better use memory credential cache in net_ads_kerberos_pac().

Guenther

s3-net: allow to call "net ads kerberos pac <impersonation principal> -P".

Guenther

s3-kerberos: add impersonate_principal for kerberos_return_pac_X calls.

Guenther

s3-kerberos: add smb_krb5_get_tkt_from_creds().

Guenther

s3-kerberos: fix some build warnings when building against heimdal.

Guenther

s3-kerberos: add smb_krb5_get_{creds,credentials} incl. support for S4U2SELF impersonation.

Guenther

s3-kerberos: remove duplicate prototype.

Guenther

s3-kerberos: add smb_krb5_parse_name_flags().

Guenther

s3-kerberos: add configure checks for krb5_get_creds_X api.

Guenther

Got the logic simplification worked out so we still pass
BASE-DELAYWRITE and also RAW-CLOSE.
Jeremy.

Revert commit "0551284dc08eb93ef7b2b2227a45e5ec21d482fb" - simplify
the logic. This was incorrect (I'll revisit this tomorrow).
Jeremy.

Remove the smbd:writetimeupdatedelay change Metze added. Metze please
explain why you added this. Change --maximum-runtime=900 for smbtorture4
with BASE-DELAYWRITE. Should allow it to successfully complete now.
Jeremy.

Simplify the logic - remove extraneous argument and calls to set_close_write_time().
We were treating a file time set on close as a sticky write time set, and I don't
think it is. I will add a torture test later to RAW-CLOSE to confirm this.
Jeremy.

Fix explicit set of write time on close.
Jeremy.

Get closer to an accurate model of Windows timestamp changes.
"Normal" non truncate writes always cause the timestamp to
be set on close. Once a close is done on a handle this can
reset the sticky write time to current time also.
Updated smbtorture4 confirms this.
Jeremy.

Fix up some of the timing constants for DELAYWRITE. Add some extra tests up test_delayed_write_update6
to investigate what happens to a sticky write handle after a second handle close.
Jeremy.

Python tests for the acl module.

Signed-off-by: Nadezhda Ivanova <nadezhda.ivanova@postpath.com>
Author:    Zahari Zahariev <zahari.zahariev@postpath.com>

Version 1.0 of the directory service acls module.

At this point, support for checks on LDAP add, delete, rename and modify.
Old kludge_acl is still there to handle the searches.
This module is synchronous as the async version was impossible to debug,
will be converted to async after some user testing.

s3: Fix a crash in notify_remove_onelevel when "change notify = no"

s3: Fix the talloc hierarchy in notify_remove_onelevel

We want to free the record early, not when talloc_tos() is free'ed.

s4:torture/rpc/samr - Add a comment for "ValidatePassword" test

s4:dcesrv_samr - Implement "dcesrv_samr_ValidatePassword" using my new check password call

This implements a very basic method for password validation using my new
"samdb_check_password" call.

s4:dsdb/common/util - Add a new utility function "samdb_check_password"

This function performs basic password checks and will be used by the
"samrValidatePassword" call and the "password_hash" module.

s4:samdb_set_password/samdb_set_password_sid - Better comments and cosmetics

s3: Add parameter "ctdb timeout"

When something in the cluster blocks, it can happen that we wait indefinitely
long for ctdb, just adding to the blocking condition. In theory, nothing should
block, but as someone said "In practice the difference between theory and
practice is larger than in theory". This adds a timeout parameter in seconds,
after which we stop waiting for ctdb and panic.

s4:samdb python bindings - add a wrapper for "dsdb_make_schema_global"

s4:samdb python bindings - make the python wrap connect more like the C one

Add call for setting the create permissions.

s4:samdb python bindings - Reorder some function bodies to match the order in "ldb_wrap_connect"

s4:kdc: remove unused struct kpasswd_socket

metze

s3: Fix kerberos refresh chain.

Signed-off-by: Bo Yang <boyang@samba.org>

Fix debug comment (brain wasn't working...).
Jeremy.

Filter the returned DOS attributes by 0xFF for clients
using older protocols (LANMAN2 or below).
Jeremy.

Remove "Protocol" as an extern, and add accessor functions.
Jeremy.

s3: add support for full windows timestamps resolution on files

setting nanosecond timestamps using utimensat() was first supported by Linux
kernel 2.6.22 and glibc 2.6. It's specified in POSIX.1-2008.

This effectively makes us use Windows' full 100ns timestamp resolution -
actually just an improvement from 10^-6 to 10^-7.

For now Linux CIFS vfs will also just be able to make use of 100ns resolution,
not 1ns.

Added security descriptor for the domain NC to provisioning.

Necessary for correct descriptor inheritance. Based on the default state
of a single DC. Will be modified later when we support multiple DCs.

s4:provisioning - Fixed minor bugs in provisioning tool and partition module.

libcli/nbt Move more of lmhosts lookup into common code

This aims to eventually share this with Samba4.

Andrew Bartlett

lib/util Fix comments in rfc1738.c.

The Samba version does not use static buffers

Andrew Bartlett

s3-netlogon: make sure we protect some function codes in _netr_LogonControl2Ex().

Guenther

s3-netlogon: let s3 pass against RPC-NETLOGON-S3 again.

Guenther

s3-netlogon: implement _netr_NETLOGON_INFO_4 in netr_LogonControl2Ex() and friends as well.

Guenther

s3-netlogon: implement remote trust account changing in netr_LogonControl2Ex() and friends.

Guenther

security: re-run make samba3-idl after IDL change.

Guenther

s3-lsa: fill in some more info levels in _lsa_QueryInfoPolicy().

Add dummys (just like s4 does) and fill in some more appropriate error codes.

Guenther

s4-smbtorture: skip three info levels while testing s3 with RPC-LSA.

These are only supported by s3 when running pdb_ads atm.

Guenther

s4-smbtorture: skip QueryInfoPolicy2 while running RPC-LSA against s3.

This is only supported by s3 when running pdb_ads atm.

Guenther

s4-smbtorture: skip QueryDomainInformationPolicy test against s3 in RPC-LSA.

Guenther

s4-smbtorture: simplify some torture_comments in RPC-LSA.

Guenther

s3-passdb: cleanup some callers of pdb_get_trusteddom_pw().

Guenther

Fix debug statements to use correct function name.
Jeremy.

requires_resume_key is a bool not int.
Jeremy.

Fix more of the RAW-SEARCH test. Older info levels are
not 4 byte aligned (levels 1 - 3).
Jeremy.

tsocket: rewrite tsocket_guide.txt to reflect the current APIs

metze

tsocket_bsd: return -1 and set errno to ENAMETOOLONG if the unix path is too long

metze

tsocket: remove prototype of non-existing tsocket_address_inet_set_broadcast()

metze

Fixed some missing flags and bugs in the security creation.

Also, added some logging. It needs improvement, possibly ability to
turn in on and off via configuration file.

Fixed a bug in object specific access checks.

s3: Remove debug_ctx()

smbd just crashed on me: In a debug message I called a routine preparing a
string that itself used debug_ctx. The outer routine also used it after the
inner routine had returned. It was still referencing the talloc context
that the outer debug_ctx() had given us, which the inner DEBUG had already
freed.

Added some dn to the info in the log messages.

Removed the default DACL from token, as we will not be using it.

Convert from numbers to correct SMB_FIND_XX constant names.
Jeremy.

s3:registry: add an extra check for dsize==0 to regdb_fetch_keys_internal()

Don't only rely on dptr == NULL.
I stumbled over this one when rewriting some of the dbwrap_ctdb code.

Michael

s3:registry: add safety check for return value of tdb_unpack to regdb_fetch_keys_internal()

Prevents segfaults in some situations.

(For a non existent or empty record, we sometimes rely on the fetch operation
 to return dsize==0 and sometimes we rely on dptr==NULL.)

Michael

s3:dbwrap_ctdb: add debug message to transaction_fetch_start()

for the case that another local process has started a transaction
bewteen releasing the transaction_lock record and starting the
transaction.

Michael

s3:dbwrap_ctdb: split combined check in two and add descriptive debug

in db_ctdb_transaction_fetch_start() for error conditions when re-fetching
the transaction_lock record inside the transaction

Michael

s3:dbwrap_ctdb: fix race condition with concurrent transactions on the same node.

In ctdb_transaction_commit(), when the trans2_commit control fails, there
is a race condition in the 1 second sleep between the local transaction_cancel
and the call to ctdb_replay_transaction(): The database is not locked, and
neither is the transaction_lock record. So another client can start and possibly
complete a new transaction in this gap, but only on the same node: The locking
of the transaction_lock record on a different node which involves migration of
the record to the other node has been disabled by introduction of the
transaction_active flag on the db which closes precisely this gap from the start
of the commit until the call to TRANS2_FINISH or TRANS2_ERROR.
But this mechanism does not cover the case where a process on the same node
tries to start a transaction: There is no obstacle to locking the transaction_lock
record because the record does not need to be migrated.

This commit closes this race condition in ctdb_transaction_fetch_start()
by using the new ctdb_ctrl_transaction_active() call to ask the local
ctdb daemon whether it has a transaction running on the database.
If so, the check is repeated until the running transaction is done.

This does introduce an additional call to the local ctdbd when starting
transactions, but it does close the (hopefully) last race condition.

Michael

s3:configure: add a check for the new CTDB_CONTROL_TRANS2_ACTIVE

Michael

s3:dbwrap_ctdb: add new db_ctdb_transaction_active() that calls CTDB_CONTROL_TRANS2_COMMIT

Michael

s3:dbwrap_ctdb: fix a race in starting concurrent transactions on a single node

There are two races in concurrent transactions on a single node.
One in starting a transaction and one with replay during commit.

This commit closes the first race by storing the client pid in the
transaction-lock record and comparing the stored pid against its own
pid after releasing the lock and refetching the record inside the
transaction.

Michael

s3:dbwrap_ctdb: use db_ctdb_ltdb_fetch() inside db_ctdb_transaction_fetch_start

Michael

s3:dbwrap_ctdb: use db_ctdb_ltdb_fetch() inside db_ctdb_transaction_fetch()

Michael

s3:dbwrap_ctdb: add a function db_ctdb_ltdb_fetch()

This fetches a record from the db and splits out the ctdb header.

Michael

s3:dbrwap_ctdb: add a function db_ctdb_ltdb_store()

and use it in db_ctdb_store() and db_ctdb_transaction_store().

Michael

s3:dbwrap_ctdb: reformat a comment slightly to enhance clearness.

Michael

Fix bug 6867 - trans2findnext returns reply_nterror(req, ntstatus) In a directory with a lot of files.
Jeremy.

s3: Fix a 100% CPU loop when ctdbd dies during a traverse

s3-gencache: restore gencache_get behavior with NULL args (with torture test).

Without this, we panic in wins_srv_is_dead() and fail to start nmbd with
wins support.

Volker, please check.

Guenther

s3: Make "debug hires timestamp" default to true

It does not cost much and can help a lot when debugging

s4:dsdb Fix up after the MAP_ constants became LDB_MAP_

s4:provision Remove LDB backend files in provision

Rather than try and remove the records in the LDB files, make the
provision remove the whole file.  This also removes the need to try
and carry forward the old ldb filenames.

Andrew Bartlett

s4:provision Split ProvisionBackend out of the main provision script

This splits the code, while keeping the original behaviour.  The
provision.py file had become just too long.

Andrew Bartlett

s4:provision Inline 'ldap_backend_shutdown' for clarity

s4:provision Fix samdb test with new provision code

s4:provision Move 'Schema' into it's own file

s4:provision Make 'linked_attributes' and 'dnsyntax_attributes' a property of the Schema

s4:provision Rework provision to always have a ProvisionBackend

Rather than treat the LDAP backend as a special case, treat all
backends the same, with different callbacks.

Andrew Bartlett

s4 - SID allocation using FDS DNA plugin

s4:dsdb - Removed redundant domain SID filter.