lib/controller/localdb/login_pam_docker_test.sh

   1 #!/bin/bash
   2
   3 # This script demonstrates using LDAP for Arvados user authentication.
   4 #
   5 # It configures pam_ldap(5) and arvados controller in a docker
   6 # container, with pam_ldap configured to authenticate against an
   7 # OpenLDAP server in a second docker container.
   8 #
   9 # After adding a "foo" user entry, it uses curl to check that the
  10 # Arvados controller's login endpoint accepts the "foo" account
  11 # username/password and rejects invalid credentials.
  12 #
  13 # It is intended to be run inside .../build/run-tests.sh (in
  14 # interactive mode: "test lib/controller/localdb -tags=docker
  15 # -check.f=LDAP -check.vv"). It assumes ARVADOS_TEST_API_HOST points
  16 # to a RailsAPI server and the desired version of arvados-server is
  17 # installed in $GOPATH/bin.
  18
  19 set -e -o pipefail
  20
  21 debug=/dev/null
  22 if [[ -n ${ARVADOS_DEBUG} ]]; then
  23     debug=/dev/stderr
  24     set -x
  25 fi
  26
  27 hostname="$(hostname)"
  28 tmpdir="$(mktemp -d)"
  29 cleanup() {
  30     trap - ERR
  31     rm -r ${tmpdir}
  32     for h in ${ldapctr} ${ctrlctr}; do
  33         if [[ -n ${h} ]]; then
  34             docker kill ${h}
  35         fi
  36     done
  37 }
  38 trap cleanup ERR
  39
  40 ldapctr=ldap-${RANDOM}
  41 echo >&2 "Starting ldap server in docker container ${ldapctr}"
  42 docker run --rm --detach \
  43        -p 389 -p 636 \
  44        --name=${ldapctr} \
  45        osixia/openldap:1.3.0
  46 docker logs --follow ${ldapctr} 2>$debug >$debug &
  47 ldaphostport=$(docker port ${ldapctr} 389/tcp)
  48 ldapport=${ldaphostport##*:}
  49 ldapurl="ldap://${hostname}:${ldapport}"
  50 passwordhash="$(docker exec -i ${ldapctr} slappasswd -s "secret")"
  51
  52 # These are the default admin credentials for osixia/openldap:1.3.0
  53 adminuser=admin
  54 adminpassword=admin
  55
  56 cat >"${tmpdir}/zzzzz.yml" <<EOF
  57 Clusters:
  58   zzzzz:
  59     PostgreSQL:
  60       Connection:
  61         client_encoding: utf8
  62         host: ${hostname}
  63         dbname: arvados_test
  64         user: arvados
  65         password: insecure_arvados_test
  66     ManagementToken: e687950a23c3a9bceec28c6223a06c79
  67     SystemRootToken: systemusertesttoken1234567890aoeuidhtnsqjkxbmwvzpy
  68     API:
  69       RequestTimeout: 30s
  70     TLS:
  71       Insecure: true
  72     Collections:
  73       BlobSigningKey: zfhgfenhffzltr9dixws36j1yhksjoll2grmku38mi7yxd66h5j4q9w4jzanezacp8s6q0ro3hxakfye02152hncy6zml2ed0uc
  74       TrustAllContent: true
  75       ForwardSlashNameSubstitution: /
  76     Services:
  77       RailsAPI:
  78         InternalURLs:
  79           "https://${hostname}:${ARVADOS_TEST_API_HOST##*:}/": {}
  80       Controller:
  81         ExternalURL: http://0.0.0.0:9999/
  82         InternalURLs:
  83           "http://0.0.0.0:9999/": {}
  84     Login:
  85       PAM: true
  86     SystemLogs:
  87       LogLevel: debug
  88 EOF
  89
  90 cat >"${tmpdir}/pam_ldap.conf" <<EOF
  91 base dc=example,dc=org
  92 ldap_version 3
  93 uri ${ldapurl}
  94 pam_password crypt
  95 binddn cn=${adminuser},dc=example,dc=org
  96 bindpw ${adminpassword}
  97 EOF
  98
  99 cat >"${tmpdir}/add_example_user.ldif" <<EOF
 100 dn: cn=bar,dc=example,dc=org
 101 objectClass: posixGroup
 102 objectClass: top
 103 cn: bar
 104 gidNumber: 11111
 105 description: "Example group 'bar'"
 106
 107 dn: uid=foo,dc=example,dc=org
 108 uid: foo
 109 cn: foo
 110 givenName: Foo
 111 sn: Bar
 112 mail: foobar@example.org
 113 objectClass: inetOrgPerson
 114 objectClass: posixAccount
 115 objectClass: top
 116 objectClass: shadowAccount
 117 shadowMax: 180
 118 shadowMin: 1
 119 shadowWarning: 7
 120 shadowLastChange: 10701
 121 loginShell: /bin/bash
 122 uidNumber: 11111
 123 gidNumber: 11111
 124 homeDirectory: /home/foo
 125 userPassword: ${passwordhash}
 126 EOF
 127
 128 echo >&2 "Adding example user entry user=foo pass=secret (retrying until server comes up)"
 129 docker run --rm --entrypoint= \
 130        -v "${tmpdir}/add_example_user.ldif":/add_example_user.ldif:ro \
 131        osixia/openldap:1.3.0 \
 132        bash -c "for f in \$(seq 1 5); do if ldapadd -H '${ldapurl}' -D 'cn=${adminuser},dc=example,dc=org' -w '${adminpassword}' -f /add_example_user.ldif; then exit 0; else sleep 2; fi; done; echo 'failed to add user entry'; exit 1"
 133
 134 echo >&2 "Building arvados controller binary to run in container"
 135 go build -o "${tmpdir}" ../../../cmd/arvados-server
 136
 137 ctrlctr=ctrl-${RANDOM}
 138 echo >&2 "Starting arvados controller in docker container ${ctrlctr}"
 139 docker run --detach --rm --name=${ctrlctr} \
 140        -p 9999 \
 141        -v "${tmpdir}/pam_ldap.conf":/etc/pam_ldap.conf:ro \
 142        -v "${tmpdir}/arvados-server":/bin/arvados-server:ro \
 143        -v "${tmpdir}/zzzzz.yml":/etc/arvados/config.yml:ro \
 144        -v $(realpath "${PWD}/../../.."):/arvados:ro \
 145        debian:10 \
 146        bash -c "apt update && DEBIAN_FRONTEND=noninteractive apt install -y ldap-utils libpam-ldap && pam-auth-update --package /usr/share/pam-configs/ldap && arvados-server controller"
 147 docker logs --follow ${ctrlctr} 2>$debug >$debug &
 148 ctrlhostport=$(docker port ${ctrlctr} 9999/tcp)
 149
 150 echo >&2 "Waiting for arvados controller to come up..."
 151 for f in $(seq 1 20); do
 152     if curl -s "http://${ctrlhostport}/arvados/v1/config" >/dev/null; then
 153         break
 154     else
 155         sleep 1
 156     fi
 157     echo -n >&2 .
 158 done
 159 echo >&2
 160 echo >&2 "Arvados controller is up at http://${ctrlhostport}"
 161
 162 check_contains() {
 163     resp="${1}"
 164     str="${2}"
 165     if ! echo "${resp}" | fgrep -q "${str}"; then
 166         echo >&2 "${resp}"
 167         echo >&2 "FAIL: expected in response, but not found: ${str@Q}"
 168         return 1
 169     fi
 170 }
 171
 172 echo >&2 "Testing authentication failure"
 173 resp="$(curl -s --include -H "X-Http-Method-Override: GET" -d username=foo -d password=nosecret "http://${ctrlhostport}/login" | tee $debug)"
 174 check_contains "${resp}" "HTTP/1.1 401"
 175 check_contains "${resp}" '{"errors":["Authentication failure"]}'
 176
 177 echo >&2 "Testing authentication success"
 178 resp="$(curl -s --include -H "X-Http-Method-Override: GET" -d username=foo -d password=secret "http://${ctrlhostport}/login" | tee $debug)"
 179 check_contains "${resp}" "HTTP/1.1 200"
 180 check_contains "${resp}" '{"token":"v2/zzzzz-gj3su-'
 181
 182 cleanup