saml/saml2/metadata/impl/AbstractMetadataProvider.cpp

   1 /*
   2  *  Copyright 2001-2009 Internet2
   3  *
   4  * Licensed under the Apache License, Version 2.0 (the "License");
   5  * you may not use this file except in compliance with the License.
   6  * You may obtain a copy of the License at
   7  *
   8  *     http://www.apache.org/licenses/LICENSE-2.0
   9  *
  10  * Unless required by applicable law or agreed to in writing, software
  11  * distributed under the License is distributed on an "AS IS" BASIS,
  12  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  13  * See the License for the specific language governing permissions and
  14  * limitations under the License.
  15  */
  16
  17 /**
  18  * AbstractMetadataProvider.cpp
  19  *
  20  * Base class for caching metadata providers.
  21  */
  22
  23 #include "internal.h"
  24 #include "binding/SAMLArtifact.h"
  25 #include "saml2/metadata/Metadata.h"
  26 #include "saml2/metadata/AbstractMetadataProvider.h"
  27 #include "saml2/metadata/MetadataCredentialContext.h"
  28 #include "saml2/metadata/MetadataCredentialCriteria.h"
  29
  30 #include <xercesc/util/XMLUniDefs.hpp>
  31 #include <xmltooling/XMLToolingConfig.h>
  32 #include <xmltooling/security/Credential.h>
  33 #include <xmltooling/security/KeyInfoResolver.h>
  34 #include <xmltooling/security/SecurityHelper.h>
  35 #include <xmltooling/util/Threads.h>
  36 #include <xmltooling/util/XMLHelper.h>
  37
  38 using namespace opensaml::saml2md;
  39 using namespace xmltooling;
  40 using namespace std;
  41 using opensaml::SAMLArtifact;
  42
  43 static const XMLCh _KeyInfoResolver[] = UNICODE_LITERAL_15(K,e,y,I,n,f,o,R,e,s,o,l,v,e,r);
  44 static const XMLCh type[] =             UNICODE_LITERAL_4(t,y,p,e);
  45
  46 AbstractMetadataProvider::AbstractMetadataProvider(const DOMElement* e)
  47     : ObservableMetadataProvider(e), m_resolver(NULL), m_credentialLock(NULL)
  48 {
  49     e = e ? XMLHelper::getFirstChildElement(e, _KeyInfoResolver) : NULL;
  50     if (e) {
  51         auto_ptr_char t(e->getAttributeNS(NULL,type));
  52         if (t.get())
  53             m_resolver = XMLToolingConfig::getConfig().KeyInfoResolverManager.newPlugin(t.get(),e);
  54         else
  55             throw UnknownExtensionException("<KeyInfoResolver> element found with no type attribute");
  56     }
  57     m_credentialLock = Mutex::create();
  58 }
  59
  60 AbstractMetadataProvider::~AbstractMetadataProvider()
  61 {
  62     for (credmap_t::iterator c = m_credentialMap.begin(); c!=m_credentialMap.end(); ++c)
  63         for_each(c->second.begin(), c->second.end(), xmltooling::cleanup<Credential>());
  64     delete m_credentialLock;
  65     delete m_resolver;
  66 }
  67
  68 void AbstractMetadataProvider::emitChangeEvent() const
  69 {
  70     for (credmap_t::iterator c = m_credentialMap.begin(); c!=m_credentialMap.end(); ++c)
  71         for_each(c->second.begin(), c->second.end(), xmltooling::cleanup<Credential>());
  72     m_credentialMap.clear();
  73     ObservableMetadataProvider::emitChangeEvent();
  74 }
  75
  76 void AbstractMetadataProvider::index(EntityDescriptor* site, time_t validUntil, bool replace) const
  77 {
  78     if (validUntil < site->getValidUntilEpoch())
  79         site->setValidUntil(validUntil);
  80
  81     auto_ptr_char id(site->getEntityID());
  82     if (id.get()) {
  83         if (replace) {
  84             m_sites.erase(id.get());
  85             for (sitemap_t::iterator s = m_sources.begin(); s != m_sources.end();) {
  86                 if (s->second == site) {
  87                     sitemap_t::iterator temp = s;
  88                     ++s;
  89                     m_sources.erase(temp);
  90                 }
  91                 else {
  92                     ++s;
  93                 }
  94             }
  95         }
  96         m_sites.insert(sitemap_t::value_type(id.get(),site));
  97     }
  98
  99     // Process each IdP role.
 100     const vector<IDPSSODescriptor*>& roles=const_cast<const EntityDescriptor*>(site)->getIDPSSODescriptors();
 101     for (vector<IDPSSODescriptor*>::const_iterator i=roles.begin(); i!=roles.end(); i++) {
 102         // SAML 1.x?
 103         if ((*i)->hasSupport(samlconstants::SAML10_PROTOCOL_ENUM) || (*i)->hasSupport(samlconstants::SAML11_PROTOCOL_ENUM)) {
 104             // Check for SourceID extension element.
 105             const Extensions* exts=(*i)->getExtensions();
 106             if (exts && exts->hasChildren()) {
 107                 const vector<XMLObject*>& children=exts->getUnknownXMLObjects();
 108                 for (vector<XMLObject*>::const_iterator ext=children.begin(); ext!=children.end(); ++ext) {
 109                     SourceID* sid=dynamic_cast<SourceID*>(*ext);
 110                     if (sid) {
 111                         auto_ptr_char sourceid(sid->getID());
 112                         if (sourceid.get()) {
 113                             m_sources.insert(sitemap_t::value_type(sourceid.get(),site));
 114                             break;
 115                         }
 116                     }
 117                 }
 118             }
 119
 120             // Hash the ID.
 121             m_sources.insert(sitemap_t::value_type(SecurityHelper::doHash("SHA1", id.get(), strlen(id.get())),site));
 122
 123             // Load endpoints for type 0x0002 artifacts.
 124             const vector<ArtifactResolutionService*>& locs=const_cast<const IDPSSODescriptor*>(*i)->getArtifactResolutionServices();
 125             for (vector<ArtifactResolutionService*>::const_iterator loc=locs.begin(); loc!=locs.end(); loc++) {
 126                 auto_ptr_char location((*loc)->getLocation());
 127                 if (location.get())
 128                     m_sources.insert(sitemap_t::value_type(location.get(),site));
 129             }
 130         }
 131
 132         // SAML 2.0?
 133         if ((*i)->hasSupport(samlconstants::SAML20P_NS)) {
 134             // Hash the ID.
 135             m_sources.insert(sitemap_t::value_type(SecurityHelper::doHash("SHA1", id.get(), strlen(id.get())),site));
 136         }
 137     }
 138 }
 139
 140 void AbstractMetadataProvider::index(EntitiesDescriptor* group, time_t validUntil) const
 141 {
 142     if (validUntil < group->getValidUntilEpoch())
 143         group->setValidUntil(validUntil);
 144
 145     auto_ptr_char name(group->getName());
 146     if (name.get()) {
 147         m_groups.insert(groupmap_t::value_type(name.get(),group));
 148     }
 149
 150     const vector<EntitiesDescriptor*>& groups=const_cast<const EntitiesDescriptor*>(group)->getEntitiesDescriptors();
 151     for (vector<EntitiesDescriptor*>::const_iterator i=groups.begin(); i!=groups.end(); i++)
 152         index(*i,group->getValidUntilEpoch());
 153
 154     const vector<EntityDescriptor*>& sites=const_cast<const EntitiesDescriptor*>(group)->getEntityDescriptors();
 155     for (vector<EntityDescriptor*>::const_iterator j=sites.begin(); j!=sites.end(); j++)
 156         index(*j,group->getValidUntilEpoch());
 157 }
 158
 159 void AbstractMetadataProvider::clearDescriptorIndex(bool freeSites)
 160 {
 161     if (freeSites)
 162         for_each(m_sites.begin(), m_sites.end(), cleanup_const_pair<string,EntityDescriptor>());
 163     m_sites.clear();
 164     m_groups.clear();
 165     m_sources.clear();
 166 }
 167
 168 const EntitiesDescriptor* AbstractMetadataProvider::getEntitiesDescriptor(const char* name, bool strict) const
 169 {
 170     pair<groupmap_t::const_iterator,groupmap_t::const_iterator> range=const_cast<const groupmap_t&>(m_groups).equal_range(name);
 171
 172     time_t now=time(NULL);
 173     for (groupmap_t::const_iterator i=range.first; i!=range.second; i++)
 174         if (now < i->second->getValidUntilEpoch())
 175             return i->second;
 176
 177     if (!strict && range.first!=range.second)
 178         return range.first->second;
 179
 180     return NULL;
 181 }
 182
 183 pair<const EntityDescriptor*,const RoleDescriptor*> AbstractMetadataProvider::getEntityDescriptor(const Criteria& criteria) const
 184 {
 185     pair<sitemap_t::const_iterator,sitemap_t::const_iterator> range;
 186     if (criteria.entityID_ascii)
 187         range = const_cast<const sitemap_t&>(m_sites).equal_range(criteria.entityID_ascii);
 188     else if (criteria.entityID_unicode) {
 189         auto_ptr_char id(criteria.entityID_unicode);
 190         range = const_cast<const sitemap_t&>(m_sites).equal_range(id.get());
 191     }
 192     else if (criteria.artifact)
 193         range = const_cast<const sitemap_t&>(m_sources).equal_range(criteria.artifact->getSource());
 194     else
 195         return pair<const EntityDescriptor*,const RoleDescriptor*>(NULL,NULL);
 196
 197     pair<const EntityDescriptor*,const RoleDescriptor*> result;
 198     result.first = NULL;
 199     result.second = NULL;
 200
 201     time_t now=time(NULL);
 202     for (sitemap_t::const_iterator i=range.first; i!=range.second; i++) {
 203         if (now < i->second->getValidUntilEpoch()) {
 204             result.first = i->second;
 205             break;
 206         }
 207     }
 208
 209     if (!result.first && !criteria.validOnly && range.first!=range.second)
 210         result.first = range.first->second;
 211
 212     if (result.first && criteria.role) {
 213         result.second = result.first->getRoleDescriptor(*criteria.role, criteria.protocol);
 214         if (!result.second && criteria.protocol2)
 215             result.second = result.first->getRoleDescriptor(*criteria.role, criteria.protocol2);
 216     }
 217
 218     return result;
 219 }
 220
 221 const Credential* AbstractMetadataProvider::resolve(const CredentialCriteria* criteria) const
 222 {
 223     const MetadataCredentialCriteria* metacrit = dynamic_cast<const MetadataCredentialCriteria*>(criteria);
 224     if (!metacrit)
 225         throw MetadataException("Cannot resolve credentials without a MetadataCredentialCriteria object.");
 226
 227     Lock lock(m_credentialLock);
 228     const credmap_t::mapped_type& creds = resolveCredentials(metacrit->getRole());
 229
 230     for (credmap_t::mapped_type::const_iterator c = creds.begin(); c!=creds.end(); ++c)
 231         if (metacrit->matches(*(*c)))
 232             return *c;
 233     return NULL;
 234 }
 235
 236 vector<const Credential*>::size_type AbstractMetadataProvider::resolve(
 237     vector<const Credential*>& results, const CredentialCriteria* criteria
 238     ) const
 239 {
 240     const MetadataCredentialCriteria* metacrit = dynamic_cast<const MetadataCredentialCriteria*>(criteria);
 241     if (!metacrit)
 242         throw MetadataException("Cannot resolve credentials without a MetadataCredentialCriteria object.");
 243
 244     Lock lock(m_credentialLock);
 245     const credmap_t::mapped_type& creds = resolveCredentials(metacrit->getRole());
 246
 247     for (credmap_t::mapped_type::const_iterator c = creds.begin(); c!=creds.end(); ++c)
 248         if (metacrit->matches(*(*c)))
 249             results.push_back(*c);
 250     return results.size();
 251 }
 252
 253 const AbstractMetadataProvider::credmap_t::mapped_type& AbstractMetadataProvider::resolveCredentials(const RoleDescriptor& role) const
 254 {
 255     credmap_t::const_iterator i = m_credentialMap.find(&role);
 256     if (i!=m_credentialMap.end())
 257         return i->second;
 258
 259     const KeyInfoResolver* resolver = m_resolver ? m_resolver : XMLToolingConfig::getConfig().getKeyInfoResolver();
 260     const vector<KeyDescriptor*>& keys = role.getKeyDescriptors();
 261     AbstractMetadataProvider::credmap_t::mapped_type& resolved = m_credentialMap[&role];
 262     for (vector<KeyDescriptor*>::const_iterator k = keys.begin(); k!=keys.end(); ++k) {
 263         if ((*k)->getKeyInfo()) {
 264             auto_ptr<MetadataCredentialContext> mcc(new MetadataCredentialContext(*(*k)));
 265             Credential* c = resolver->resolve(mcc.get());
 266             mcc.release();
 267             resolved.push_back(c);
 268         }
 269     }
 270     return resolved;
 271 }