use a property string for tfa config

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

u2f authentication

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

delete TFA entries when deleting a user

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

u2f api endpoints

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

depend on libpve-u2f-server-perl

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

more general 2FA configuration via priv/tfa.cfg

Adds a priv/tfa.cfg file usable in place of user.cfg.
(Otherwise the user.cfg can potentially grow too big with
u2f keys.)

Also contains some preparation code for u2f and
user-opt-in totp.

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

buildsys: cleanup and add target to build DSC

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 5.1-5

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix vnc ticket verification without authkey lifetime

since $authkey_lifetime is currently set to 0, we have to check this,
else we always fail to verify the VNC ticket

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

bump version to 5.1-4

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

d/control: bump version dependency to pve-cluster

to ensure that cfs_lock_authkey is available

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fixup: touch date format does not understands abbreviations

this did not worked as touch did not worked with the abbreviated 'h'
for 'hour' or 'hours'

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

add postinst script

to reset auth key age until the first rotation has happened, otherwise
all currently existing tickets get invalidated immediately once the
rotation code gets enabled.

disabled until first PVE 6.0 package release

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

fixup call to cfs_lock_authkey

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #2079: add periodic auth key rotation

and modify checks to accept still valid tickets generated using the
previous auth key.

the slightly complicated caching mechanism is needed for reading the key and
its modification timestamp in one go while only reading and parsing it again if
it has changed.

the +- 300 seconds fuzzing is kept for slightly out-of-sync clusters, since the
time encoded in the tickets is the result of time() on whichever node the
ticket API call got forwarded to.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: bump version dependency to pve-doc-generator

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

1891 Add zsh command completion for pveum

This generates the zsh command completion scripts for pveum.

Signed-off-by: Christian Ebner <c.ebner@proxmox.com>

Add missing Build-Depends

Also adjust debhelper dependency according to debian/compat content.

Signed-off-by: Rhonda D'Vine <rhonda@proxmox.com>

bump version to 5.1-3

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

api/ticket: move getting cluster name into an eval

to avoid a failed login if a broken corosync config is setup

Reviewed-by: Dominik Csapak <d.csapak@proxmox.com>
Tested-by: Dominik Csapak <d.csapak@proxmox.com>
Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 5.1-2

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #1998: correct return properties for read_role

we have each privilege as property of the return object,
so we generate it from $valid_privs

this has the advantage that all privileges are well documented
with that api call

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

bump version to 5.1-1

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #233: return cluster name on successful login

If a cluster is configured then return the cluster name on successful
login - if the user has Sys.Audit privileges on the '/' path (same
as for returning cluster info, like the join info path uses)

This is more for the reason that some admins do not want to expose
this to lesser privileged (API) users. While yes, you can
theoretically launch a (DDOS resembling) attack which stresses the
corosync network if you know the cluster_name (it's still encrypted
but you can back-calculate the multicast group membership info) you
need to be able to send multicast traffic on the corosync LAN -
which can be seen as a pretty big privilege anyway.

But, for now reduce permissions - we can more easily loosen them than
tighten without causing issues anyway.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

Revert "Add title and print_width fields to properties"

This reverts commit bcf4eb3d4960aa2b3d1e63c482fc35b83bab2c0a.
I think those titles does not add any value.

Add title and print_width fields to properties

Used for printing in pveum

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

refactor API using get/register_standard_option

Pull out duplicated property definitions in the API into
register_standard_option/get_standard_option calls.
(All parameters, which are thus added to the API calls were optional).

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

PVE::AccessControl: register userid with completion

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

fix PVE::AccessControl::role_is_special

PVE::AccessControl::role_is_special now returns 0 instead of '' for false
(Schemavalidation did complain about '')

Signed-off-by: Stoiko Ivanov <s.ivanov@proxmox.com>

d/control: update pve-common version dependency

as we use the new param_mapping functionallity from PVE::CLIHandler

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

replace read_password with param_mapping

use the get_standar_mapping 'pve-password'
then we can get rid of the Term::ReadLine dependency

we use this change to only ask for the password once on
'pveum ticket'

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

fix typo in change_passsword

s/passsword/password/

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>
Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

pveum: introduce sub-commands

use a sub-command structure instead of abbreviated words, where useful.
Keep old commands as aliases.

Signed-off-by: Philip Abernethy <p.abernethy@proxmox.com>
Co-authored-by: Thomas Lamprecht <t.lamprecht@proxmox.com>
Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 5.0-8

Signed-off-by: Wolfgang Bumiller <w.bumiller@proxmox.com>

compute_api_permissions: a storage has also permissions

Fixes a problem where a non root@pam system administrator does not
sees the 'Permissions' tab for a storage in our WebUI.

Fixes commit a2c18811d33d7e09765a7b0f09bba47bc9523822

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #1612: give authenticate_user_ldap the realm on second server

this was missing and lead to 'use of unitialized value $realm...'
and a not working second server if a bindpw was defined

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>
Reviewed-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

properly register pve-poolid format

was erroneously registered as verify_groupname, overriding the previous
registration

bump version to 5.0-7

build: reformat debian/control

using wrap-and-sort -abt

VM.Snapshot.Rollback privilege added

VM.Snapshot.Rollback privilege added

Signed-off-by: Matthias Urban <matthias.urban@pure-systems.com>

style fix

api: check for special roles before locking the usercfg

Whitespace fixes

Reviewed-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

Remove unused Dumper uses

Reviewed-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix #1501: pveum: die when deleting special role

Die with a helpful error message instead of silently ignoring the user
when trying to delete a special role.
Also add a property to the API answer for possible later use by the
WebUI.

Reviewed-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

fix another typo

api: fix typo in 'GET ticket' description

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

API/ticket: rework coarse grained permission computation

We accessed methods from PVE::Storage here but did not define a
"use PVE::Storage". This thus only worked if modules if the
PVE::Storage module got pulled in by something else, by luck.
Simply including said use statement is not an option because
pve-storage is already dependent from pve-access-control, and we want
to avoid cyclic dependencies, especially on the perl module level.

The reason the offending module was used in the first place here
stems from the way how this coarse grained permissions are
calculated.
We check all permission object paths for privileges for an user.
So we got all vmids and all storage ids and computed paths from them.
This works, but is overkill and led to this "illegal" module use.

Instead I opt to not generating all possible paths, but just check
the ones configured plus a small required static set of top level
paths - this allows to generalize handling of the special root@pam
and "normal" users.

It has to be noted that this method is in general just intended for a
coarse capability check to allow hiding a few UI elements which are
not generated by backend calls (which are already permission aware).
The real checks get done by each backend call, automatically for
simple ones and semi-automatically for complex ones.

bump version to 5.0-6

fix trailing whitespace

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

fix #1470: ad: server and client certificate support

as with ldap we now accept
the verify, capath, cert and certkey parameters for active directory

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

ldap: server and client certificate support

This adds 4 more options to the ldap authentication method:

verify: boolean
  If enabled, the server certificate must be valid

capath: path to a file or directory
  The CA to use to verify the server certificate. Used only
  if 'verify' is true.

cert: path to a certificate
  Used as client certificate when connecting to a server,
  provided 'secure' is true. Requires 'certkey' to be set.

certkey: path to the certificate's key
  Required only used when 'cert' is used.

bump version to 5.0-5

In order to test new package built with dpkg-buildpackage.

build: remove fakeroot from dpkg-buildpackage

build: add substitution variable

build: reformat b-d and depends

build: make control static

change from dpkg-deb to dpkg-buildpackage

add debian directory and move the respective files there and add
missing (rules, compat).

Add a Source section to the control.in file.

Move the verify_api check to the new "test" target, which gets
executed before the dh_auto_install target.

Cleanup the "clean" target.

Signed-off-by: Thomas Lamprecht <t.lamprecht@proxmox.com>

bump version to 5.0-4

PVE/CLI/pveum.pm: call setup_default_cli_env()

PVE/Auth/PVE.pm: encode uft8 password before calling crypt

check_api2_permissions: avoid warning about uninitialized value

use new PVE::Tools::encrypt_pw, bump version to 5.0-3

use new PVE::OTP class from pve-common

bump version to 5.0-2

encrypt_pw: avoid '+' for crypt salt

And make salt less predictable.

bump release to 5.0

buildsys: update make upload target for stretch

buildsys: use fakeroot for dpkg-deb

buildsys: use gzip -n to disable timestamps

buildsys: make job safety

bump version to 4.0-23

remove old test.pl code (does not work anyways).

use new PVE::Ticket class

bump version to 4.0-22

RPCEnvironment: removed check_volume_access() to avoid cyclic dependency

moved to PVE::Storage

PVE::PCEnvironment: use new PVE::RESTEnvironment as base class

bump versuion to 4.0-21

setup_default_cli_env: expect $class as first parameter

bump version to 4.0-20

PVE/RPCEnvironment.pm: new function setup_default_cli_env

Convenience function for command line tools.

PVE/API2/Domains.pm: fix property description

use new repoman for upload target

bump version to 4.0-19

Close #833: ldap: non-anonymous bind support

The password will be read from /etc/pve/priv/ldap/$realm.pw

don't import 'RFC' from MIME::Base32

call encode_rfc3548 explicitly instead as newer versions of
the base32 package will drop this import scheme (stretch)

bump version to 4.0-18

fix #1062: use correct length for base32 keys

we wrongly assumed the keys to be 32 chars long,
instead of 16

Signed-off-by: Dominik Csapak <d.csapak@proxmox.com>

bump version to 4.0-17

drop oathtool dependency

Generate hotp/totp in perl directly, also support keys in
hex notation (this is how eg. the
yubikey-personalization-gui displays them, but without the
whitespaces).

drop libdigest-hmac-perl dependency

Its functionality is provided by perl core's Digest::SHA
module now.

remove unused inline docs

use pve-doc-generator, bump version to 4.0-16

bump version to 4.0-15

Fix uninitialized warning

when shadow.cfg does not exist, parsing should return an
empty hash instead of displaying a warning

bump version to 4.0-14

Add is_worker to RPCEnvironment

after forking the actual worker process, the child/worker
sets a flag that can be checked later on by methods called
in the worker.

used in the ZFS storage plugins in pve-storage to decide on
a short or long default timeout for ZFS operations.

bump version to 4.0-13

fix typos and grammar

fix #916: allow HTTPS to access custom yubico url

remove the limit to HTTP only, since it would only apply for
custom yubico validation server urls anyway.