add more privileges, improve docs
[pve-access-control.git] / PVE / AccessControl.pm
index 3db2bff..47b010f 100644 (file)
@@ -150,7 +150,7 @@ sub assemble_ticket {
 sub verify_ticket {
     my ($ticket, $noerr) = @_;
 
-    if ($ticket && $ticket =~ m/^(\S+)::([^:\s]+)$/) {
+    if ($ticket && $ticket =~ m/^(PVE:\S+)::([^:\s]+)$/) {
        my $plain = $1;
        my $sig = $2;
 
@@ -175,6 +175,56 @@ sub verify_ticket {
     return undef;
 }
 
+# VNC tickets
+# - they do not contain the username in plain text
+# - they are restricted to a specific resource path (example: '/vms/100')
+sub assemble_vnc_ticket {
+    my ($username, $path) = @_;
+
+    my $rsa_priv = get_privkey();
+
+    my $timestamp = sprintf("%08X", time());
+
+    my $plain = "PVEVNC:$timestamp";
+
+    $path = normalize_path($path);
+
+    my $full = "$plain:$username:$path";
+
+    my $ticket = $plain . "::" . encode_base64($rsa_priv->sign($full), '');
+
+    return $ticket;
+}
+
+sub verify_vnc_ticket {
+    my ($ticket, $username, $path, $noerr) = @_;
+
+    if ($ticket && $ticket =~ m/^(PVEVNC:\S+)::([^:\s]+)$/) {
+       my $plain = $1;
+       my $sig = $2;
+       my $full = "$plain:$username:$path";
+
+       my $rsa_pub = get_pubkey();
+       # Note: sign only match if $username and  $path is correct
+       if ($rsa_pub->verify($full, decode_base64($sig))) {
+           if ($plain =~ m/^PVEVNC:([A-Z0-9]{8})$/) {
+               my $ttime = hex($1);
+
+               my $age = time() - $ttime;
+
+               if (($age > -20) && ($age < 40)) {
+                   return 1;
+               }
+           }
+       }
+    }
+
+    die "permission denied - invalid vnc ticket\n" if !$noerr;
+
+    return undef;
+}
+
+
 sub authenticate_user_shadow {
     my ($userid, $password) = @_;
 
@@ -323,18 +373,32 @@ sub authenticate_user_domain {
     }
 }
 
-sub user_enabled {
-    my ($usercfg, $username) = @_;
+sub check_user_exist {
+    my ($usercfg, $username, $noerr) = @_;
 
-    $username = verify_username($username, 1);
+    $username = verify_username($username, $noerr);
     return undef if !$username;
  
-    return 1 if $usercfg && $usercfg->{users}->{$username} &&
-       $usercfg->{users}->{$username}->{enable};
+    return $usercfg->{users}->{$username} if $usercfg && $usercfg->{users}->{$username};
+
+    die "no such user ('$username')\n" if !$noerr;
+    return undef;
+}
+
+sub check_user_enabled {
+    my ($usercfg, $username, $noerr) = @_;
+
+    my $data = check_user_exist($usercfg, $username, $noerr);
+    return undef if !$data;
+
+    return 1 if $data->{enable};
 
     return 1 if $username eq 'root@pam'; # root is always enabled
 
-    return 0;
+    die "user '$username' is disabled\n" if !$noerr;
+    return undef;
 }
 
 # password should be utf8 encoded
@@ -349,9 +413,10 @@ sub authenticate_user {
 
     my $usercfg = cfs_read_file('user.cfg');
 
-    if (!user_enabled($usercfg, $username)) {
+    eval { check_user_enabled($usercfg, $username); };
+    if (my $err = $@) {
        sleep(2);
-       die "no such user ('$username')\n"
+       die $err;
     }
 
     my $ctime = time();
@@ -449,8 +514,8 @@ sub delete_user_acl {
        delete ($usercfg->{acl}->{$acl}->{users}->{$username}) 
            if $usercfg->{acl}->{$acl}->{users}->{$username};
     }
-
 }
+
 sub delete_group_acl {
 
     my ($group, $usercfg) = @_;
@@ -460,7 +525,18 @@ sub delete_group_acl {
        delete ($usercfg->{acl}->{$acl}->{groups}->{$group}) 
            if $usercfg->{acl}->{$acl}->{groups}->{$group};
     }
+}
 
+sub delete_pool_acl {
+
+    my ($pool, $usercfg) = @_;
+
+    my $path = "/pool/$pool";
+
+    foreach my $aclpath (keys %{$usercfg->{acl}}) {
+       delete ($usercfg->{acl}->{$aclpath})
+           if $usercfg->{acl}->{$aclpath} eq 'path';
+    }
 }
 
 # we automatically create some predefined roles by splitting privs
@@ -472,25 +548,32 @@ my $privgroups = {
     VM => {
        root => [],
        admin => [           
-           'VM.Modify', 
+           'VM.Config.Disk', 
+           'VM.Config.CDROM', 
+           'VM.Config.CPU', 
+           'VM.Config.Memory', 
+           'VM.Config.Network', 
+           'VM.Config.HWType',
+           'VM.Config.Options', # covers all other things 
            'VM.Allocate', 
            'VM.Migrate',
-           'Permissions.Modify',
+           'VM.Monitor', 
        ],
        user => [
            'VM.Console', 
            'VM.PowerMgmt',
        ],
        audit => [ 
-           'VM.Audit' 
+           'VM.Audit',
        ],
     },
     Sys => {
        root => [
            'Sys.PowerMgmt',     
-           'Sys.Modify', # edit/change node settings    
+           'Sys.Modify', # edit/change node settings
        ],
        admin => [
+           'Permissions.Modify',
            'Sys.Console',    
            'Sys.Syslog',
        ],
@@ -500,11 +583,10 @@ my $privgroups = {
        ],
     },
     Datastore => {
-       root => [
+       root => [],
+       admin => [
            'Datastore.Allocate',
-           'Permissions.Modify',
        ],
-       admin => [],
        user => [
            'Datastore.AllocateSpace',
        ],
@@ -512,6 +594,26 @@ my $privgroups = {
            'Datastore.Audit',
        ],
     },
+    User => {
+       root => [
+           'Realm.Allocate',
+       ],
+       admin => [
+           'User.Modify',
+           'Group.Allocate', # edit/change group settings
+           'Realm.AllocateUser', 
+       ],
+       user => [],
+       audit => [],
+    },
+    Pool => {
+       root => [],
+       admin => [
+           'Pool.Allocate', # create/delete pools
+       ],
+       user => [],
+       audit => [],
+    },
 };
 
 my $valid_privs = {};
@@ -586,12 +688,14 @@ sub add_role_privs {
 sub normalize_path {
     my $path = shift;
 
-    $path =~ s|/+|/|;
+    $path =~ s|/+|/|g;
 
     $path =~ s|/$||;
 
     $path = '/' if !$path;
 
+    $path = "/$path" if $path !~ m|^/|;
+
     return undef if $path !~ m|^[[:alnum:]\-\_\/]+$|;
 
     return $path;
@@ -674,6 +778,20 @@ sub verify_rolename {
     return $rolename;
 }
 
+PVE::JSONSchema::register_format('pve-poolid', \&verify_groupname);
+sub verify_poolname {
+    my ($poolname, $noerr) = @_;
+
+    if ($poolname !~ m/^[A-Za-z0-9\.\-_]+$/) {
+
+       die "pool name '$poolname' contains invalid characters\n" if !$noerr;
+
+       return undef;
+    }
+    
+    return $poolname;
+}
+
 PVE::JSONSchema::register_format('pve-priv', \&verify_privname);
 sub verify_privname {
     my ($priv, $noerr) = @_;
@@ -839,6 +957,44 @@ sub parse_user_config {
            } else {
                warn "user config - ignore invalid path in acl '$pathtxt'\n";
            }
+       } elsif ($et eq 'pool') {
+           my ($pool, $comment, $vmlist, $storelist) = @data;
+
+           if (!verify_poolname($pool, 1)) {
+               warn "user config - ignore pool '$pool' - invalid characters in pool name\n";
+               next;
+           }
+
+           # make sure to add the pool (even if there are no members)
+           $cfg->{pools}->{$pool} = { vms => {}, storage => {} } if !$cfg->{pools}->{$pool};
+
+           $cfg->{pools}->{$pool}->{comment} = PVE::Tools::decode_text($comment) if $comment;
+
+           foreach my $vmid (split_list($vmlist)) {
+               if ($vmid !~ m/^\d+$/) {
+                   warn "user config - ignore invalid vmid '$vmid' in pool '$pool'\n";
+                   next;
+               }
+               $vmid = int($vmid);
+
+               if ($cfg->{vms}->{$vmid}) {
+                   warn "user config - ignore duplicate vmid '$vmid' in pool '$pool'\n";
+                   next;
+               }
+
+               $cfg->{pools}->{$pool}->{vms}->{$vmid} = 1;
+                   
+               # record vmid ==> pool relation
+               $cfg->{vms}->{$vmid} = $pool;
+           }
+
+           foreach my $storeid (split_list($storelist)) {
+               if ($storeid !~ m/^[a-z][a-z0-9\-\_\.]*[a-z0-9]$/i) {
+                   warn "user config - ignore invalid storage '$storeid' in pool '$pool'\n";
+                   next;
+               }
+               $cfg->{pools}->{$pool}->{storage}->{$storeid} = 1;
+           }
        } else {
            warn "user config - ignore config line: $line\n";
        }
@@ -899,7 +1055,7 @@ sub write_domains {
                    $wrote_default = 1;
            } elsif (defined($formats->{$k})) {
                if (!$formats->{$k}) {
-                   $data .= "\t$k\n";
+                   $data .= "\t$k\n" if $v;
                } elsif ($v =~ m/^$formats->{$k}$/) {
                    $v = PVE::Tools::encode_text($v) if $k eq 'comment';
                    $data .= "\t$k $v\n";
@@ -994,6 +1150,8 @@ sub parse_domains {
                warn "ignoring domain '$realm' - missing user attribute\n";
            } elsif (($entry->{type} eq "ldap") && !$entry->{base_dn}) {
                warn "ignoring domain '$realm' - missing base_dn attribute\n";
+           } elsif (($entry->{type} eq "ad") && !$entry->{domain}) {
+               warn "ignoring domain '$realm' - missing domain attribute\n";
            } else {
                $cfg->{$realm} = $entry;
            }
@@ -1038,8 +1196,6 @@ sub write_user_config {
     my $data = '';
 
     foreach my $user (keys %{$cfg->{users}}) {
-       next if $user eq 'root@pam';
-
        my $d = $cfg->{users}->{$user};
        my $firstname = $d->{firstname} ? PVE::Tools::encode_text($d->{firstname}) : '';
        my $lastname = $d->{lastname} ? PVE::Tools::encode_text($d->{lastname}) : '';
@@ -1061,6 +1217,16 @@ sub write_user_config {
 
     $data .= "\n";
 
+    foreach my $pool (keys %{$cfg->{pools}}) {
+       my $d = $cfg->{pools}->{$pool};
+       my $vmlist = join (',', keys %{$d->{vms}});
+       my $storelist = join (',', keys %{$d->{storage}});
+       my $comment = $d->{comment} ? PVE::Tools::encode_text($d->{comment}) : '';      
+       $data .= "pool:$pool:$comment:$vmlist:$storelist:\n";
+    }
+
+    $data .= "\n";
+
     foreach my $role (keys %{$cfg->{roles}}) {
        next if $special_roles->{$role};
 
@@ -1129,6 +1295,9 @@ sub write_user_config {
 sub roles {
     my ($cfg, $user, $path) = @_;
 
+    # NOTE: we do not consider pools here. 
+    # You need to use $rpcenv->roles() instead if you want that.
+
     return 'Administrator' if $user eq 'root@pam'; # root can do anything
 
     my $perm = {};
@@ -1177,18 +1346,14 @@ sub roles {
            $perm = $new; # overwrite previous settings
            next;
        }
-
-       #die "what herea?";
     }
 
-    my $res = {};
-    if (!defined ($perm->{NoAccess})) {
-       $res = $perm; 
-    }
+    return ('NoAccess') if defined ($perm->{NoAccess});
+    #return () if defined ($perm->{NoAccess});
    
     #print "permission $user $path = " . Dumper ($perm);
 
-    my @ra = keys %$res;
+    my @ra = keys %$perm;
 
     #print "roles $user $path = " . join (',', @ra) . "\n";