Remove keytab configuration
[mspang/pyceo.git] / src / ldap.c
1 #include <stdio.h>
2 #include <stdlib.h>
3 #include <pwd.h>
4 #include <grp.h>
5 #include <sasl/sasl.h>
6 #include <krb5.h>
7
8 #define LDAP_DEPRECATED 1
9 #include <ldap.h>
10
11 #include "ldap.h"
12 #include "krb5.h"
13 #include "config.h"
14 #include "util.h"
15
16 extern char *prog;
17
18 LDAP *ld;
19
20 static void ldap_fatal(char *msg) {
21     int errnum = 0;
22     char *errstr = NULL;
23     char *detail = NULL;
24
25     if (ldap_get_option(ld, LDAP_OPT_ERROR_NUMBER, &errnum) != LDAP_SUCCESS)
26         warn("ldap_get_option(LDAP_OPT_ERROR_NUMBER) failed");
27     if (ldap_get_option(ld, LDAP_OPT_ERROR_STRING, &detail) != LDAP_SUCCESS)
28         warn("ldap_get_option(LDAP_OPT_ERROR_STRING) failed");
29
30     errstr = ldap_err2string(errnum);
31
32     if (detail)
33         fatal("%s: %s (%d): %s", msg, errstr, errnum, detail);
34     else if (errnum)
35         fatal("%s: %s (%d)", msg, errstr, errnum);
36     else
37         fatal("%s", msg);
38 }
39
40 static void ldap_err(char *msg) {
41     int errnum = 0;
42     char *errstr = NULL;
43     char *detail = NULL;
44
45     if (ldap_get_option(ld, LDAP_OPT_ERROR_NUMBER, &errnum) != LDAP_SUCCESS)
46         warn("ldap_get_option(LDAP_OPT_ERROR_NUMBER) failed");
47     if (ldap_get_option(ld, LDAP_OPT_ERROR_STRING, &detail) != LDAP_SUCCESS)
48         warn("ldap_get_option(LDAP_OPT_ERROR_STRING) failed");
49
50     errstr = ldap_err2string(errnum);
51
52     if (detail)
53         error("%s: %s (%d): %s", msg, errstr, errnum, detail);
54     else if (errnum)
55         error("%s: %s (%d)", msg, errstr, errnum);
56     else
57         error("%s", msg);
58 }
59
60 int ceo_add_group(char *cn, char *basedn, int no) {
61     if (!cn || !basedn)
62         fatal("addgroup: Invalid argument");
63
64     LDAPMod *mods[8];
65     int i = -1;
66     int ret = 0;
67
68     mods[++i] = xmalloc(sizeof(LDAPMod));
69     mods[i]->mod_op = LDAP_MOD_ADD;
70     mods[i]->mod_type = "objectClass";
71     char *objectClasses[] = { "top", "group", "posixGroup", NULL };
72     mods[i]->mod_values = objectClasses;
73
74     mods[++i] = xmalloc(sizeof(LDAPMod));
75     mods[i]->mod_op = LDAP_MOD_ADD;
76     mods[i]->mod_type = "cn";
77     char *uids[] = { cn, NULL };
78     mods[i]->mod_values = uids;
79
80     mods[++i] = xmalloc(sizeof(LDAPMod));
81     mods[i]->mod_op = LDAP_MOD_ADD;
82     mods[i]->mod_type = "gidNumber";
83     char idno[16];
84     snprintf(idno, sizeof(idno), "%d", no);
85     char *gidNumbers[] = { idno, NULL };
86     mods[i]->mod_values = gidNumbers;
87
88     mods[++i] = NULL;
89
90     char dn[1024];
91     snprintf(dn, sizeof(dn), "cn=%s,%s", cn, basedn);
92
93     if (ldap_add_s(ld, dn, mods) != LDAP_SUCCESS) {
94         ldap_err("addgroup");
95         ret = -1;
96     }
97
98     for (i = 0; mods[i]; i++)
99         free(mods[i]);
100
101     return ret;
102 }
103
104 int ceo_add_group_sudo(char *group, char *basedn) {
105     if (!group || !basedn)
106         fatal("addgroup: Invalid argument");
107
108     LDAPMod *mods[8];
109     int i = -1;
110     int ret = 0;
111
112     char cn[17];
113     snprintf(cn, sizeof(cn), "%%%s", group);
114
115     mods[++i] = xmalloc(sizeof(LDAPMod));
116     mods[i]->mod_op = LDAP_MOD_ADD;
117     mods[i]->mod_type = "objectClass";
118     char *objectClasses[] = { "top", "sudoRole", NULL };
119     mods[i]->mod_values = objectClasses;
120
121     mods[++i] = xmalloc(sizeof(LDAPMod));
122     mods[i]->mod_op = LDAP_MOD_ADD;
123     mods[i]->mod_type = "cn";
124     char *uids[] = { cn, NULL };
125     mods[i]->mod_values = uids;
126
127     mods[++i] = xmalloc(sizeof(LDAPMod));
128     mods[i]->mod_op = LDAP_MOD_ADD;
129     mods[i]->mod_type = "sudoUser";
130     char *sudouser[] = { cn, NULL };
131     mods[i]->mod_values = sudouser;
132
133     mods[++i] = xmalloc(sizeof(LDAPMod));
134     mods[i]->mod_op = LDAP_MOD_ADD;
135     mods[i]->mod_type = "sudoHost";
136     char *sudohost[] = { "ALL", NULL };
137     mods[i]->mod_values = sudohost;
138
139     mods[++i] = xmalloc(sizeof(LDAPMod));
140     mods[i]->mod_op = LDAP_MOD_ADD;
141     mods[i]->mod_type = "sudoCommand";
142     char *sudocommand[] = { "ALL", NULL };
143     mods[i]->mod_values = sudocommand;
144
145     mods[++i] = xmalloc(sizeof(LDAPMod));
146     mods[i]->mod_op = LDAP_MOD_ADD;
147     mods[i]->mod_type = "sudoOption";
148     char *sudooption[] = { "!authenticate", NULL };
149     mods[i]->mod_values = sudooption;
150
151     mods[++i] = xmalloc(sizeof(LDAPMod));
152     mods[i]->mod_op = LDAP_MOD_ADD;
153     mods[i]->mod_type = "sudoRunAs";
154     char *sudorunas[] = { group, NULL };
155     mods[i]->mod_values = sudorunas;
156
157     char dn[1024];
158     snprintf(dn, sizeof(dn), "cn=%%%s,%s", group, basedn);
159
160     mods[++i] = NULL;
161
162     if (ldap_add_s(ld, dn, mods) != LDAP_SUCCESS) {
163         ldap_err("addgroup");
164         ret = -1;
165     }
166
167     for (i = 0; mods[i]; i++)
168         free(mods[i]);
169
170     return ret;
171 }
172
173 int ceo_add_user(char *uid, char *basedn, char *objclass, char *cn, char *home, char *shell, int no, ...) {
174     va_list args;
175
176     if (!uid || !basedn || !cn || !home || !shell)
177         fatal("adduser: Invalid argument");
178
179     LDAPMod *mods[16];
180     int i = -1;
181     int ret = 0;
182
183     mods[++i] = xmalloc(sizeof(LDAPMod));
184     mods[i]->mod_op = LDAP_MOD_ADD;
185     mods[i]->mod_type = "objectClass";
186     char *objectClasses[] = { "top", "account", "posixAccount", "shadowAccount", NULL, NULL };
187     if (objclass != NULL)
188         objectClasses[4] = objclass;
189     mods[i]->mod_values = objectClasses;
190
191     mods[++i] = xmalloc(sizeof(LDAPMod));
192     mods[i]->mod_op = LDAP_MOD_ADD;
193     mods[i]->mod_type = "uid";
194     char *uids[] = { uid, NULL };
195     mods[i]->mod_values = uids;
196
197     mods[++i] = xmalloc(sizeof(LDAPMod));
198     mods[i]->mod_op = LDAP_MOD_ADD;
199     mods[i]->mod_type = "cn";
200     char *cns[] = { cn, NULL };
201     mods[i]->mod_values = cns;
202
203     mods[++i] = xmalloc(sizeof(LDAPMod));
204     mods[i]->mod_op = LDAP_MOD_ADD;
205     mods[i]->mod_type = "loginShell";
206     char *shells[] = { shell, NULL };
207     mods[i]->mod_values = shells;
208
209     mods[++i] = xmalloc(sizeof(LDAPMod));
210     mods[i]->mod_op = LDAP_MOD_ADD;
211     mods[i]->mod_type = "uidNumber";
212     char idno[16];
213     snprintf(idno, sizeof(idno), "%d", no);
214     char *uidNumbers[] = { idno, NULL };
215     mods[i]->mod_values = uidNumbers;
216
217     mods[++i] = xmalloc(sizeof(LDAPMod));
218     mods[i]->mod_op = LDAP_MOD_ADD;
219     mods[i]->mod_type = "gidNumber";
220     mods[i]->mod_values = uidNumbers;
221
222     mods[++i] = xmalloc(sizeof(LDAPMod));
223     mods[i]->mod_op = LDAP_MOD_ADD;
224     mods[i]->mod_type = "homeDirectory";
225     char *homeDirectory[] = { home, NULL };
226     mods[i]->mod_values = homeDirectory;
227
228     va_start(args, no);
229     char *attr;
230     while ((attr = va_arg(args, char *))) {
231         char *val = va_arg(args, char *);
232
233         if (!val || !*val)
234             continue;
235
236         if (i == sizeof(mods) / sizeof(*mods) - 2) {
237             error("too many attributes");
238             return -1;
239         }
240
241         mods[++i] = xmalloc(sizeof(LDAPMod));
242         mods[i]->mod_op = LDAP_MOD_ADD;
243         mods[i]->mod_type = attr;
244         char *vals[] = { val, NULL };
245         mods[i]->mod_values = vals;
246     }
247
248     mods[++i] = NULL;
249
250     char dn[1024];
251     snprintf(dn, sizeof(dn), "uid=%s,%s", uid, basedn);
252
253     if (ldap_add_s(ld, dn, mods) != LDAP_SUCCESS) {
254         ldap_err("adduser");
255         ret = -1;
256     }
257
258     for (i = 0; mods[i]; i++)
259         free(mods[i]);
260
261     return ret;
262 }
263
264 int ceo_new_uid(int min, int max) {
265     char filter[64];
266     char *attrs[] = { LDAP_NO_ATTRS, NULL };
267     LDAPMessage *res;
268     int i;
269
270     for (i = min; i <= max; i++) {
271         // id taken due to passwd
272         if (getpwuid(i) != NULL)
273             continue;
274
275         // id taken due to group
276         if (getgrgid(i) != NULL)
277             continue;
278
279         snprintf(filter, sizeof(filter), "(|(uidNumber=%d)(gidNumber=%d))", i, i);
280         if (ldap_search_s(ld, users_base, LDAP_SCOPE_SUBTREE, filter, attrs, 1, &res) != LDAP_SUCCESS) {
281             ldap_err("firstuid");
282             return -1;
283         }
284
285         int count = ldap_count_entries(ld, res);
286         ldap_msgfree(res);
287
288         // id taken due to LDAP
289         if (count)
290             continue;
291
292         return i;
293     }
294
295     return -1;
296 }
297
298 int ceo_user_exists(char *uid) {
299     char *attrs[] = { LDAP_NO_ATTRS, NULL };
300     LDAPMessage *msg = NULL;
301     char filter[128];
302     int count;
303
304     if (!uid)
305         fatal("null uid");
306
307     snprintf(filter, sizeof(filter), "uid=%s", uid);
308
309     if (ldap_search_s(ld, users_base, LDAP_SCOPE_SUBTREE, filter, attrs, 0, &msg) != LDAP_SUCCESS) {
310         ldap_err("user_exists");
311         return -1;
312     }
313
314     count = ldap_count_entries(ld, msg);
315     ldap_msgfree(msg);
316
317     return count > 0;
318 }
319
320 int ceo_group_exists(char *cn) {
321     char *attrs[] = { LDAP_NO_ATTRS, NULL };
322     LDAPMessage *msg = NULL;
323     char filter[128];
324     int count;
325
326     if (!cn)
327         fatal("null cd");
328
329     snprintf(filter, sizeof(filter), "cn=%s", cn);
330
331     if (ldap_search_s(ld, groups_base, LDAP_SCOPE_SUBTREE, filter, attrs, 0, &msg) != LDAP_SUCCESS) {
332         ldap_err("group_exists");
333         return -1;
334     }
335
336     count = ldap_count_entries(ld, msg);
337     ldap_msgfree(msg);
338
339     return count > 0;
340 }
341
342 static int ldap_sasl_interact(LDAP *ld, unsigned flags, void *defaults, void *in) {
343     sasl_interact_t *interact = in;
344
345     while (interact->id != SASL_CB_LIST_END) {
346         switch (interact->id) {
347
348             // GSSAPI doesn't require any callbacks
349
350             default:
351                 interact->result = "";
352                 interact->len = 0;
353         }
354
355         interact++;
356     }
357
358     return LDAP_SUCCESS;
359 }
360
361 void ceo_ldap_init() {
362     int proto = LDAP_DEFAULT_PROTOCOL;
363     const char *sasl_mech = "GSSAPI";
364
365     if (!admin_bind_userid)
366         fatal("not configured");
367
368     if (ldap_initialize(&ld, server_url) != LDAP_SUCCESS)
369         ldap_fatal("ldap_initialize");
370
371     if (ldap_set_option(ld, LDAP_OPT_PROTOCOL_VERSION, &proto) != LDAP_OPT_SUCCESS)
372         ldap_fatal("ldap_set_option");
373
374     ceo_krb5_auth(admin_bind_userid);
375
376     if (ldap_sasl_interactive_bind_s(ld, NULL, sasl_mech, NULL, NULL,
377                 LDAP_SASL_QUIET, &ldap_sasl_interact, NULL) != LDAP_SUCCESS)
378         ldap_fatal("Bind failed");
379
380     ceo_krb5_deauth();
381 }
382
383 void ceo_ldap_cleanup() {
384     ldap_unbind(ld);
385 }