lustre/utils/gss/gss_util.c

   1 /*
   2  *  Adapted in part from MIT Kerberos 5-1.2.1 slave/kprop.c and from
   3  *  http://docs.sun.com/?p=/doc/816-1331/6m7oo9sms&a=view
   4  *
   5  *  Copyright (c) 2002 The Regents of the University of Michigan.
   6  *  All rights reserved.
   7  *
   8  *  Andy Adamson <andros@umich.edu>
   9  *  J. Bruce Fields <bfields@umich.edu>
  10  *  Marius Aamodt Eriksen <marius@umich.edu>
  11  */
  12
  13 /*
  14  * slave/kprop.c
  15  *
  16  * Copyright 1990,1991 by the Massachusetts Institute of Technology.
  17  * All Rights Reserved.
  18  *
  19  * Export of this software from the United States of America may
  20  *   require a specific license from the United States Government.
  21  *   It is the responsibility of any person or organization contemplating
  22  *   export to obtain such a license before exporting.
  23  *
  24  * WITHIN THAT CONSTRAINT, permission to use, copy, modify, and
  25  * distribute this software and its documentation for any purpose and
  26  * without fee is hereby granted, provided that the above copyright
  27  * notice appear in all copies and that both that copyright notice and
  28  * this permission notice appear in supporting documentation, and that
  29  * the name of M.I.T. not be used in advertising or publicity pertaining
  30  * to distribution of the software without specific, written prior
  31  * permission.  Furthermore if you modify this software you must label
  32  * your software as modified software and not distribute it in such a
  33  * fashion that it might be confused with the original M.I.T. software.
  34  * M.I.T. makes no representations about the suitability of
  35  * this software for any purpose.  It is provided "as is" without express
  36  * or implied warranty.
  37  */
  38
  39 /*
  40  * Copyright 1994 by OpenVision Technologies, Inc.
  41  *
  42  * Permission to use, copy, modify, distribute, and sell this software
  43  * and its documentation for any purpose is hereby granted without fee,
  44  * provided that the above copyright notice appears in all copies and
  45  * that both that copyright notice and this permission notice appear in
  46  * supporting documentation, and that the name of OpenVision not be used
  47  * in advertising or publicity pertaining to distribution of the software
  48  * without specific, written prior permission. OpenVision makes no
  49  * representations about the suitability of this software for any
  50  * purpose.  It is provided "as is" without express or implied warranty.
  51  *
  52  * OPENVISION DISCLAIMS ALL WARRANTIES WITH REGARD TO THIS SOFTWARE,
  53  * INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS, IN NO
  54  * EVENT SHALL OPENVISION BE LIABLE FOR ANY SPECIAL, INDIRECT OR
  55  * CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULTING FROM LOSS OF
  56  * USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT, NEGLIGENCE OR
  57  * OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION WITH THE USE OR
  58  * PERFORMANCE OF THIS SOFTWARE.
  59  */
  60 #include "config.h"
  61 #include <errno.h>
  62 #include <stdio.h>
  63 #include <ctype.h>
  64 #include <sys/file.h>
  65 #include <signal.h>
  66 #include <string.h>
  67 #include <sys/types.h>
  68 #include <sys/time.h>
  69 #include <sys/stat.h>
  70 #include <sys/socket.h>
  71 #include <netinet/in.h>
  72 #include <sys/param.h>
  73 #include <netdb.h>
  74 #include <fcntl.h>
  75 #include <gssapi/gssapi.h>
  76 #if defined(HAVE_KRB5) && !defined(GSS_C_NT_HOSTBASED_SERVICE)
  77 #include <gssapi/gssapi_generic.h>
  78 #define GSS_C_NT_HOSTBASED_SERVICE gss_nt_service_name
  79 #endif
  80 #include "gss_util.h"
  81 #include "err_util.h"
  82 #include "gssd.h"
  83 #ifdef HAVE_UNISTD_H
  84 #include <unistd.h>
  85 #endif
  86 #include <stdlib.h>
  87 #ifdef HAVE_COM_ERR_H
  88 #include <com_err.h>
  89 #endif
  90 #include "lsupport.h"
  91
  92 /* Global gssd_credentials handle */
  93 gss_cred_id_t  gssd_cred_mgs;
  94 gss_cred_id_t  gssd_cred_mds;
  95 gss_cred_id_t  gssd_cred_oss;
  96 int            gssd_cred_mgs_valid = 0;
  97 int            gssd_cred_mds_valid = 0;
  98 int            gssd_cred_oss_valid = 0;
  99
 100 char *mgs_local_realm = NULL;
 101 char *mds_local_realm = NULL;
 102 char *oss_local_realm = NULL;
 103
 104 gss_OID g_mechOid = GSS_C_NULL_OID;;
 105
 106 #if 0
 107 static void
 108 display_status_1(char *m, u_int32_t code, int type, const gss_OID mech)
 109 {
 110         u_int32_t maj_stat, min_stat;
 111         gss_buffer_desc msg = GSS_C_EMPTY_BUFFER;
 112         u_int32_t msg_ctx = 0;
 113         char *typestr;
 114
 115         switch (type) {
 116         case GSS_C_GSS_CODE:
 117                 typestr = "GSS";
 118                 break;
 119         case GSS_C_MECH_CODE:
 120                 typestr = "mechanism";
 121                 break;
 122         default:
 123                 return;
 124                 /* NOTREACHED */
 125         }
 126
 127         for (;;) {
 128                 maj_stat = gss_display_status(&min_stat, code,
 129                     type, mech, &msg_ctx, &msg);
 130                 if (maj_stat != GSS_S_COMPLETE) {
 131                         printerr(0, "ERROR: in call to "
 132                                 "gss_display_status called from %s\n", m);
 133                         break;
 134                 } else {
 135                         printerr(0, "ERROR: GSS-API: (%s) error in %s(): %s\n",
 136                             typestr, m, (char *)msg.value);
 137                 }
 138
 139                 if (msg.length != 0)
 140                         (void) gss_release_buffer(&min_stat, &msg);
 141
 142                 if (msg_ctx == 0)
 143                         break;
 144         }
 145 }
 146 #endif
 147
 148 static void
 149 display_status_2(char *m, u_int32_t major, u_int32_t minor, const gss_OID mech)
 150 {
 151         u_int32_t maj_stat1, min_stat1;
 152         u_int32_t maj_stat2, min_stat2;
 153         gss_buffer_desc maj_gss_buf = GSS_C_EMPTY_BUFFER;
 154         gss_buffer_desc min_gss_buf = GSS_C_EMPTY_BUFFER;
 155         char maj_buf[30], min_buf[30];
 156         char *maj, *min;
 157         u_int32_t msg_ctx = 0;
 158
 159         /* Get major status message */
 160         maj_stat1 = gss_display_status(&min_stat1, major,
 161                 GSS_C_GSS_CODE, mech, &msg_ctx, &maj_gss_buf);
 162
 163         if (maj_stat1 != GSS_S_COMPLETE) {
 164                 snprintf(maj_buf, sizeof(maj_buf), "(0x%08x)", major);
 165                 maj = &maj_buf[0];
 166         } else {
 167                 maj = maj_gss_buf.value;
 168         }
 169
 170         /* Get minor status message */
 171         maj_stat2 = gss_display_status(&min_stat2, minor,
 172                 GSS_C_MECH_CODE, mech, &msg_ctx, &min_gss_buf);
 173
 174         if (maj_stat2 != GSS_S_COMPLETE) {
 175                 snprintf(min_buf, sizeof(min_buf), "(0x%08x)", minor);
 176                 min = &min_buf[0];
 177         } else {
 178                 min = min_gss_buf.value;
 179         }
 180
 181         printerr(0, "ERROR: GSS-API: error in %s(): %s - %s\n",
 182                  m, maj, min);
 183
 184         if (maj_gss_buf.length != 0)
 185                 (void) gss_release_buffer(&min_stat1, &maj_gss_buf);
 186         if (min_gss_buf.length != 0)
 187                 (void) gss_release_buffer(&min_stat2, &min_gss_buf);
 188 }
 189
 190 void
 191 pgsserr(char *msg, u_int32_t maj_stat, u_int32_t min_stat, const gss_OID mech)
 192 {
 193         display_status_2(msg, maj_stat, min_stat, mech);
 194 }
 195
 196 static
 197 int extract_realm_name(gss_buffer_desc *name, char **realm)
 198 {
 199         char *sname, *c;
 200         int   rc = 0;
 201
 202         sname = malloc(name->length + 1);
 203         if (!sname) {
 204                 printerr(0, "out of memory\n");
 205                 return -ENOMEM;
 206         }
 207
 208         memcpy(sname, name->value, name->length);
 209         sname[name->length] = '\0';
 210         printerr(1, "service principal: %s\n", sname);
 211
 212         c = strchr(sname, '@');
 213         if (!c) {
 214                 printerr(2, "no realm found in principal, use default\n");
 215                 *realm = strdup(this_realm);
 216                 if (!*realm) {
 217                         printerr(0, "failed to duplicate default realm\n");
 218                         rc = -ENOMEM;
 219                 }
 220         } else {
 221                 c++;
 222                 *realm = strdup(c);
 223                 if (!*realm) {
 224                         printerr(0, "failed to duplicated realm\n");
 225                         rc = -ENOMEM;
 226                 }
 227         }
 228         free(sname);
 229
 230         return rc;
 231 }
 232
 233 static
 234 int gssd_acquire_cred(char *server_name, gss_cred_id_t *cred,
 235                       char **local_realm, int *valid)
 236 {
 237         gss_buffer_desc name;
 238         gss_name_t target_name;
 239         u_int32_t maj_stat, min_stat;
 240         u_int32_t ignore_maj_stat, ignore_min_stat;
 241         gss_OID name_type;
 242         gss_buffer_desc pbuf;
 243
 244         *valid = 0;
 245
 246         name.value = (void *)server_name;
 247         name.length = strlen(server_name);
 248
 249         maj_stat = gss_import_name(&min_stat, &name,
 250                         (const gss_OID) GSS_C_NT_HOSTBASED_SERVICE,
 251                         &target_name);
 252
 253         if (maj_stat != GSS_S_COMPLETE) {
 254                 pgsserr("gss_import_name", maj_stat, min_stat, g_mechOid);
 255                 return -1;
 256         }
 257
 258         maj_stat = gss_display_name(&min_stat, target_name, &name, &name_type);
 259         if (maj_stat != GSS_S_COMPLETE) {
 260                 pgsserr(0, maj_stat, min_stat, g_mechOid);
 261                 return -1;
 262         }
 263         if (extract_realm_name(&name, local_realm))
 264                 return -1;
 265
 266         maj_stat = gss_acquire_cred(&min_stat, target_name, 0,
 267                         GSS_C_NULL_OID_SET, GSS_C_ACCEPT,
 268                         cred, NULL, NULL);
 269
 270         if (maj_stat != GSS_S_COMPLETE) {
 271                 pgsserr("gss_acquire_cred", maj_stat, min_stat, g_mechOid);
 272                 ignore_maj_stat = gss_display_name(&ignore_min_stat,
 273                                 target_name, &pbuf, NULL);
 274                 if (ignore_maj_stat == GSS_S_COMPLETE) {
 275                         printerr(0, "Unable to obtain credentials for '%.*s'\n",
 276                                  pbuf.length, pbuf.value);
 277                         ignore_maj_stat = gss_release_buffer(&ignore_min_stat,
 278                                                              &pbuf);
 279                 }
 280         } else
 281                 *valid = 1;
 282
 283         ignore_maj_stat = gss_release_name(&ignore_min_stat, &target_name);
 284
 285         if (maj_stat != GSS_S_COMPLETE)
 286                 return -1;
 287         return 0;
 288 }
 289
 290 int gssd_prepare_creds(int must_srv_mgs, int must_srv_mds, int must_srv_oss)
 291 {
 292         if (gssd_acquire_cred(GSSD_SERVICE_MGS, &gssd_cred_mgs,
 293                               &mgs_local_realm, &gssd_cred_mgs_valid)) {
 294                 if (must_srv_mgs)
 295                         return -1;
 296         }
 297
 298         if (gssd_acquire_cred(GSSD_SERVICE_MDS, &gssd_cred_mds,
 299                               &mds_local_realm, &gssd_cred_mds_valid)) {
 300                 if (must_srv_mds)
 301                         return -1;
 302         }
 303
 304         if (gssd_acquire_cred(GSSD_SERVICE_OSS, &gssd_cred_oss,
 305                               &oss_local_realm, &gssd_cred_oss_valid)) {
 306                 if (must_srv_oss)
 307                         return -1;
 308         }
 309
 310         if (!gssd_cred_mgs_valid &&
 311             !gssd_cred_mds_valid &&
 312             !gssd_cred_oss_valid) {
 313                 printerr(0, "can't obtain any service creds, exit\n");
 314                 return -1;
 315         }
 316
 317         if (gssd_cred_mgs_valid)
 318                 printerr(0, "Ready to serve Lustre MGS in realm %s\n",
 319                          mgs_local_realm ? mgs_local_realm : "N/A");
 320         if (gssd_cred_mds_valid)
 321                 printerr(0, "Ready to serve Lustre MDS in realm %s\n",
 322                          mds_local_realm ? mds_local_realm : "N/A");
 323         if (gssd_cred_oss_valid)
 324                 printerr(0, "Ready to serve Lustre OSS in realm %s\n",
 325                          oss_local_realm ? oss_local_realm : "N/A");
 326
 327         return 0;
 328 }
 329
 330 gss_cred_id_t gssd_select_svc_cred(int lustre_svc)
 331 {
 332         switch (lustre_svc) {
 333         case LUSTRE_GSS_SVC_MGS:
 334                 if (!gssd_cred_mgs_valid) {
 335                         printerr(0, "ERROR: service cred for mgs not ready\n");
 336                         return NULL;
 337                 }
 338                 return gssd_cred_mgs;
 339         case LUSTRE_GSS_SVC_MDS:
 340                 if (!gssd_cred_mds_valid) {
 341                         printerr(0, "ERROR: service cred for mds not ready\n");
 342                         return NULL;
 343                 }
 344                 printerr(2, "select mds service cred\n");
 345                 return gssd_cred_mds;
 346         case LUSTRE_GSS_SVC_OSS:
 347                 if (!gssd_cred_oss_valid) {
 348                         printerr(0, "ERROR: service cred for oss not ready\n");
 349                         return NULL;
 350                 }
 351                 printerr(2, "select oss service cred\n");
 352                 return gssd_cred_oss;
 353         default:
 354                 printerr(0, "ERROR: invalid lustre svc id %d\n", lustre_svc);
 355         }
 356
 357         return NULL;
 358 }
 359
 360 int gssd_check_mechs(void)
 361 {
 362         u_int32_t maj_stat, min_stat;
 363         gss_OID_set supported_mechs = GSS_C_NO_OID_SET;
 364         int retval = -1;
 365
 366         maj_stat = gss_indicate_mechs(&min_stat, &supported_mechs);
 367         if (maj_stat != GSS_S_COMPLETE) {
 368                 printerr(0, "Unable to obtain list of supported mechanisms. "
 369                          "Check that gss library is properly configured.\n");
 370                 goto out;
 371         }
 372         if (supported_mechs == GSS_C_NO_OID_SET ||
 373             supported_mechs->count == 0) {
 374                 printerr(0, "Unable to obtain list of supported mechanisms. "
 375                          "Check that gss library is properly configured.\n");
 376                 goto out;
 377         }
 378         maj_stat = gss_release_oid_set(&min_stat, &supported_mechs);
 379         retval = 0;
 380 out:
 381         return retval;
 382 }
 383
 384 /*********************************
 385  * FIXME should be in krb5_util.c
 386  *********************************/
 387
 388 #include "krb5_util.h"
 389
 390 /* realm of this node */
 391 char *this_realm = NULL;
 392
 393 int gssd_get_local_realm(void)
 394 {
 395         krb5_context context = NULL;
 396         krb5_error_code code;
 397         int retval = -1;
 398
 399         if (this_realm != NULL)
 400                 return 0;
 401
 402         code = krb5_init_context(&context);
 403         if (code) {
 404                 printerr(0, "ERROR: get default realm: init ctx: %s\n",
 405                          error_message(code));
 406                 goto out;
 407         }
 408
 409         code = krb5_get_default_realm(context, &this_realm);
 410         if (code) {
 411                 printerr(0, "ERROR: get default realm: %s\n",
 412                          error_message(code));
 413                 goto out;
 414         }
 415         retval = 0;
 416
 417         printerr(1, "Local realm: %s\n", this_realm);
 418 out:
 419         krb5_free_context(context);
 420         return retval;
 421 }
 422