services/api/app/models/group.rb

   1 # Copyright (C) The Arvados Authors. All rights reserved.
   2 #
   3 # SPDX-License-Identifier: AGPL-3.0
   4
   5 require 'can_be_an_owner'
   6 require 'trashable'
   7 require 'update_priorities'
   8
   9 class Group < ArvadosModel
  10   include HasUuid
  11   include KindAndEtag
  12   include CommonApiTemplate
  13   include CanBeAnOwner
  14   include Trashable
  15
  16   # Posgresql JSONB columns should NOT be declared as serialized, Rails 5
  17   # already know how to properly treat them.
  18   attribute :properties, :jsonbHash, default: {}
  19
  20   validate :ensure_filesystem_compatible_name
  21   validate :check_group_class
  22   validate :check_filter_group_filters
  23   validate :check_frozen_state_change_allowed
  24   before_create :assign_name
  25   after_create :after_ownership_change
  26   after_create :update_trash
  27   after_create :update_frozen
  28
  29   before_update :before_ownership_change
  30   after_update :after_ownership_change
  31
  32   after_create :add_role_manage_link
  33
  34   after_update :update_trash
  35   after_update :update_frozen
  36   before_destroy :clear_permissions_trash_frozen
  37
  38   api_accessible :user, extend: :common do |t|
  39     t.add :name
  40     t.add :group_class
  41     t.add :description
  42     t.add :writable_by
  43     t.add :delete_at
  44     t.add :trash_at
  45     t.add :is_trashed
  46     t.add :properties
  47     t.add :frozen_by_uuid
  48     t.add :can_write
  49     t.add :can_manage
  50   end
  51
  52   # check if admins are allowed to make changes to the project, e.g. it
  53   # isn't trashed or frozen.
  54   def admin_change_permitted
  55     !(FrozenGroup.where(uuid: self.uuid).any? || TrashedGroup.where(group_uuid: self.uuid).any?)
  56   end
  57
  58   protected
  59
  60   def self.attributes_required_columns
  61     super.merge(
  62                 'can_write' => ['owner_uuid', 'uuid'],
  63                 'can_manage' => ['owner_uuid', 'uuid'],
  64                 'writable_by' => ['owner_uuid', 'uuid'],
  65                 )
  66   end
  67
  68   def ensure_filesystem_compatible_name
  69     # project and filter groups need filesystem-compatible names, but others
  70     # don't.
  71     super if group_class == 'project' || group_class == 'filter'
  72   end
  73
  74   def check_group_class
  75     if group_class != 'project' && group_class != 'role' && group_class != 'filter'
  76       errors.add :group_class, "value must be one of 'project', 'role' or 'filter', was '#{group_class}'"
  77     end
  78     if group_class_changed? && !group_class_was.nil?
  79       errors.add :group_class, "cannot be modified after record is created"
  80     end
  81   end
  82
  83   def check_filter_group_filters
  84     if group_class == 'filter'
  85       if !self.properties.key?("filters")
  86         errors.add :properties, "filters property missing, it must be an array of arrays, each with 3 elements"
  87         return
  88       end
  89       if !self.properties["filters"].is_a?(Array)
  90         errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
  91         return
  92       end
  93       self.properties["filters"].each do |filter|
  94         if !filter.is_a?(Array)
  95           errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
  96           return
  97         end
  98         if filter.length() != 3
  99           errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
 100           return
 101         end
 102         if !filter[0].include?(".") and filter[0].downcase != "uuid"
 103           errors.add :properties, "filter attribute must be 'uuid' or contain a dot (e.g. groups.name)"
 104           return
 105         end
 106         if (filter[0].downcase != "uuid" and filter[1].downcase == "is_a")
 107           errors.add :properties, "when filter operator is 'is_a', attribute must be 'uuid'"
 108           return
 109         end
 110         if ! ["=","<","<=",">",">=","!=","like","ilike","in","not in","is_a","exists","contains"].include?(filter[1].downcase)
 111           errors.add :properties, "filter operator is not valid (must be =,<,<=,>,>=,!=,like,ilike,in,not in,is_a,exists,contains)"
 112           return
 113         end
 114       end
 115     end
 116   end
 117
 118   def check_frozen_state_change_allowed
 119     if frozen_by_uuid == ""
 120       self.frozen_by_uuid = nil
 121     end
 122     if frozen_by_uuid_changed? || (new_record? && frozen_by_uuid)
 123       if group_class != "project"
 124         errors.add(:frozen_by_uuid, "cannot be modified on a non-project group")
 125         return
 126       end
 127       if frozen_by_uuid_was && Rails.configuration.API.UnfreezeProjectRequiresAdmin && !current_user.is_admin
 128         errors.add(:frozen_by_uuid, "can only be changed by an admin user, once set")
 129         return
 130       end
 131       if frozen_by_uuid && frozen_by_uuid != current_user.uuid
 132         errors.add(:frozen_by_uuid, "can only be set to the current user's UUID")
 133         return
 134       end
 135       if !new_record? && !current_user.can?(manage: uuid)
 136         raise PermissionDeniedError
 137       end
 138       if trash_at || delete_at || (!new_record? && TrashedGroup.where(group_uuid: uuid).any?)
 139         errors.add(:frozen_by_uuid, "cannot be set on a trashed project")
 140       end
 141       if frozen_by_uuid_was.nil?
 142         if Rails.configuration.API.FreezeProjectRequiresDescription && !attribute_present?(:description)
 143           errors.add(:frozen_by_uuid, "can only be set if description is non-empty")
 144         end
 145         Rails.configuration.API.FreezeProjectRequiresProperties.andand.each do |key, _|
 146           key = key.to_s
 147           if !properties[key] || properties[key] == ""
 148             errors.add(:frozen_by_uuid, "can only be set if properties[#{key}] value is non-empty")
 149           end
 150         end
 151       end
 152     end
 153   end
 154
 155   def update_trash
 156     return unless saved_change_to_trash_at? || saved_change_to_owner_uuid?
 157
 158     # The group was added or removed from the trash.
 159     #
 160     # Strategy:
 161     #   Compute project subtree, propagating trash_at to subprojects
 162     #   Ensure none of the newly trashed descendants were frozen (if so, bail out)
 163     #   Remove groups that don't belong from trash
 164     #   Add/update groups that do belong in the trash
 165
 166     temptable = "group_subtree_#{rand(2**64).to_s(10)}"
 167     ActiveRecord::Base.connection.exec_query(
 168       "create temporary table #{temptable} on commit drop " +
 169       "as select * from project_subtree_with_trash_at($1, LEAST($2, $3)::timestamp)",
 170       "Group.update_trash.select",
 171       [[nil, self.uuid],
 172        [nil, TrashedGroup.find_by_group_uuid(self.owner_uuid).andand.trash_at],
 173        [nil, self.trash_at]])
 174     frozen_descendants = ActiveRecord::Base.connection.exec_query(
 175       "select uuid from frozen_groups, #{temptable} where uuid = target_uuid",
 176       "Group.update_trash.check_frozen")
 177     if frozen_descendants.any?
 178       raise ArgumentError.new("cannot trash project containing frozen project #{frozen_descendants[0]["uuid"]}")
 179     end
 180     ActiveRecord::Base.connection.exec_delete(
 181       "delete from trashed_groups where group_uuid in (select target_uuid from #{temptable} where trash_at is NULL)",
 182       "Group.update_trash.delete")
 183     ActiveRecord::Base.connection.exec_query(
 184       "insert into trashed_groups (group_uuid, trash_at) "+
 185       "select target_uuid as group_uuid, trash_at from #{temptable} where trash_at is not NULL " +
 186       "on conflict (group_uuid) do update set trash_at=EXCLUDED.trash_at",
 187       "Group.update_trash.insert")
 188     ActiveRecord::Base.connection.exec_query(
 189       "select container_uuid from container_requests where " +
 190       "owner_uuid in (select target_uuid from #{temptable}) and " +
 191       "requesting_container_uuid is NULL and state = 'Committed' and container_uuid is not NULL",
 192       "Group.update_trash.update_priorities").each do |container_uuid|
 193       update_priorities container_uuid["container_uuid"]
 194     end
 195   end
 196
 197   def update_frozen
 198     return unless saved_change_to_frozen_by_uuid? || saved_change_to_owner_uuid?
 199     temptable = "group_subtree_#{rand(2**64).to_s(10)}"
 200     ActiveRecord::Base.connection.exec_query(
 201       "create temporary table #{temptable} on commit drop as select * from project_subtree_with_is_frozen($1,$2)",
 202       "Group.update_frozen.select",
 203       [[nil, self.uuid],
 204        [nil, !self.frozen_by_uuid.nil?]])
 205     if frozen_by_uuid
 206       rows = ActiveRecord::Base.connection.exec_query(
 207         "select cr.uuid, cr.state from container_requests cr, #{temptable} frozen " +
 208         "where cr.owner_uuid = frozen.uuid and frozen.is_frozen " +
 209         "and cr.state not in ($1, $2) limit 1",
 210         "Group.update_frozen.check_container_requests",
 211         [[nil, ContainerRequest::Uncommitted],
 212          [nil, ContainerRequest::Final]])
 213       if rows.any?
 214         raise ArgumentError.new("cannot freeze project containing container request #{rows.first['uuid']} with state = #{rows.first['state']}")
 215       end
 216     end
 217     ActiveRecord::Base.connection.exec_delete(
 218       "delete from frozen_groups where uuid in (select uuid from #{temptable} where not is_frozen)",
 219       "Group.update_frozen.delete")
 220     ActiveRecord::Base.connection.exec_query(
 221       "insert into frozen_groups (uuid) select uuid from #{temptable} where is_frozen on conflict do nothing",
 222       "Group.update_frozen.insert")
 223   end
 224
 225   def before_ownership_change
 226     if owner_uuid_changed? and !self.owner_uuid_was.nil?
 227       MaterializedPermission.where(user_uuid: owner_uuid_was, target_uuid: uuid).delete_all
 228       update_permissions self.owner_uuid_was, self.uuid, REVOKE_PERM
 229     end
 230   end
 231
 232   def after_ownership_change
 233     if saved_change_to_owner_uuid?
 234       update_permissions self.owner_uuid, self.uuid, CAN_MANAGE_PERM
 235     end
 236   end
 237
 238   def clear_permissions_trash_frozen
 239     MaterializedPermission.where(target_uuid: uuid).delete_all
 240     ActiveRecord::Base.connection.exec_delete(
 241       "delete from trashed_groups where group_uuid=$1",
 242       "Group.clear_permissions_trash_frozen",
 243       [[nil, self.uuid]])
 244     ActiveRecord::Base.connection.exec_delete(
 245       "delete from frozen_groups where uuid=$1",
 246       "Group.clear_permissions_trash_frozen",
 247       [[nil, self.uuid]])
 248   end
 249
 250   def assign_name
 251     if self.new_record? and (self.name.nil? or self.name.empty?)
 252       self.name = self.uuid
 253     end
 254     true
 255   end
 256
 257   def ensure_owner_uuid_is_permitted
 258     if group_class == "role"
 259       @requested_manager_uuid = nil
 260       if new_record?
 261         @requested_manager_uuid = owner_uuid
 262         self.owner_uuid = system_user_uuid
 263         return true
 264       end
 265       if self.owner_uuid != system_user_uuid
 266         raise "Owner uuid for role must be system user"
 267       end
 268       raise PermissionDeniedError.new("role group cannot be modified without can_manage permission") unless current_user.can?(manage: uuid)
 269       true
 270     else
 271       super
 272     end
 273   end
 274
 275   def add_role_manage_link
 276     if group_class == "role" && @requested_manager_uuid
 277       act_as_system_user do
 278        Link.create!(tail_uuid: @requested_manager_uuid,
 279                     head_uuid: self.uuid,
 280                     link_class: "permission",
 281                     name: "can_manage")
 282       end
 283     end
 284   end
 285
 286   def permission_to_create
 287     if !super
 288       return false
 289     elsif group_class == "role" &&
 290        !Rails.configuration.Users.CanCreateRoleGroups &&
 291        !current_user.andand.is_admin
 292       raise PermissionDeniedError.new("this cluster does not allow users to create role groups")
 293     else
 294       return true
 295     end
 296   end
 297
 298   def permission_to_update
 299     if !super
 300       return false
 301     elsif frozen_by_uuid && frozen_by_uuid_was
 302       errors.add :uuid, "#{uuid} is frozen and cannot be modified"
 303       return false
 304     else
 305       return true
 306     end
 307   end
 308
 309   def self.full_text_searchable_columns
 310     super - ["frozen_by_uuid"]
 311   end
 312 end