services/api/app/models/group.rb

   1 # Copyright (C) The Arvados Authors. All rights reserved.
   2 #
   3 # SPDX-License-Identifier: AGPL-3.0
   4
   5 require 'can_be_an_owner'
   6 require 'trashable'
   7 require 'update_priorities'
   8
   9 class Group < ArvadosModel
  10   include HasUuid
  11   include KindAndEtag
  12   include CommonApiTemplate
  13   include CanBeAnOwner
  14   include Trashable
  15
  16   # Posgresql JSONB columns should NOT be declared as serialized, Rails 5
  17   # already know how to properly treat them.
  18   attribute :properties, :jsonbHash, default: {}
  19
  20   validate :ensure_filesystem_compatible_name
  21   validate :check_group_class
  22   validate :check_filter_group_filters
  23   validate :check_frozen_state_change_allowed
  24   before_create :assign_name
  25   after_create :after_ownership_change
  26   after_create :update_trash
  27   after_create :update_frozen
  28
  29   before_update :before_ownership_change
  30   after_update :after_ownership_change
  31
  32   after_create :add_role_manage_link
  33
  34   after_update :update_trash
  35   after_update :update_frozen
  36   before_destroy :clear_permissions_trash_frozen
  37
  38   api_accessible :user, extend: :common do |t|
  39     t.add :name
  40     t.add :group_class
  41     t.add :description
  42     t.add :writable_by
  43     t.add :delete_at
  44     t.add :trash_at
  45     t.add :is_trashed
  46     t.add :properties
  47     t.add :frozen_by_uuid
  48     t.add :can_write
  49     t.add :can_manage
  50   end
  51
  52   def default_delete_after_trash_interval
  53     if self.group_class == 'role'
  54       ActiveSupport::Duration.build(0)
  55     else
  56       super
  57     end
  58   end
  59
  60   def minimum_delete_after_trash_interval
  61     if self.group_class == 'role'
  62       ActiveSupport::Duration.build(0)
  63     else
  64       super
  65     end
  66   end
  67
  68   def validate_trash_and_delete_timing
  69     if self.group_class == 'role' && delete_at && delete_at != trash_at
  70       errors.add :delete_at, "must be == trash_at for role groups"
  71     else
  72       super
  73     end
  74   end
  75
  76   # check if admins are allowed to make changes to the project, e.g. it
  77   # isn't trashed or frozen.
  78   def admin_change_permitted
  79     !(FrozenGroup.where(uuid: self.uuid).any? || TrashedGroup.where(group_uuid: self.uuid).any?)
  80   end
  81
  82   protected
  83
  84   def self.attributes_required_columns
  85     super.merge(
  86                 'can_write' => ['owner_uuid', 'uuid'],
  87                 'can_manage' => ['owner_uuid', 'uuid'],
  88                 'writable_by' => ['owner_uuid', 'uuid'],
  89                 )
  90   end
  91
  92   def ensure_filesystem_compatible_name
  93     # project and filter groups need filesystem-compatible names, but others
  94     # don't.
  95     super if group_class == 'project' || group_class == 'filter'
  96   end
  97
  98   def check_group_class
  99     if group_class != 'project' && group_class != 'role' && group_class != 'filter'
 100       errors.add :group_class, "value must be one of 'project', 'role' or 'filter', was '#{group_class}'"
 101     end
 102     if group_class_changed? && !group_class_was.nil?
 103       errors.add :group_class, "cannot be modified after record is created"
 104     end
 105   end
 106
 107   def check_filter_group_filters
 108     if group_class == 'filter'
 109       if !self.properties.key?("filters")
 110         errors.add :properties, "filters property missing, it must be an array of arrays, each with 3 elements"
 111         return
 112       end
 113       if !self.properties["filters"].is_a?(Array)
 114         errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
 115         return
 116       end
 117       self.properties["filters"].each do |filter|
 118         if !filter.is_a?(Array)
 119           errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
 120           return
 121         end
 122         if filter.length() != 3
 123           errors.add :properties, "filters property must be an array of arrays, each with 3 elements"
 124           return
 125         end
 126         if !filter[0].include?(".") and filter[0].downcase != "uuid"
 127           errors.add :properties, "filter attribute must be 'uuid' or contain a dot (e.g. groups.name)"
 128           return
 129         end
 130         if (filter[0].downcase != "uuid" and filter[1].downcase == "is_a")
 131           errors.add :properties, "when filter operator is 'is_a', attribute must be 'uuid'"
 132           return
 133         end
 134         if ! ["=","<","<=",">",">=","!=","like","ilike","in","not in","is_a","exists","contains"].include?(filter[1].downcase)
 135           errors.add :properties, "filter operator is not valid (must be =,<,<=,>,>=,!=,like,ilike,in,not in,is_a,exists,contains)"
 136           return
 137         end
 138       end
 139     end
 140   end
 141
 142   def check_frozen_state_change_allowed
 143     if frozen_by_uuid == ""
 144       self.frozen_by_uuid = nil
 145     end
 146     if frozen_by_uuid_changed? || (new_record? && frozen_by_uuid)
 147       if group_class != "project"
 148         errors.add(:frozen_by_uuid, "cannot be modified on a non-project group")
 149         return
 150       end
 151       if frozen_by_uuid_was && Rails.configuration.API.UnfreezeProjectRequiresAdmin && !current_user.is_admin
 152         errors.add(:frozen_by_uuid, "can only be changed by an admin user, once set")
 153         return
 154       end
 155       if frozen_by_uuid && frozen_by_uuid != current_user.uuid
 156         errors.add(:frozen_by_uuid, "can only be set to the current user's UUID")
 157         return
 158       end
 159       if !new_record? && !current_user.can?(manage: uuid)
 160         raise PermissionDeniedError
 161       end
 162       if trash_at || delete_at || (!new_record? && TrashedGroup.where(group_uuid: uuid).any?)
 163         errors.add(:frozen_by_uuid, "cannot be set on a trashed project")
 164       end
 165       if frozen_by_uuid_was.nil?
 166         if Rails.configuration.API.FreezeProjectRequiresDescription && !attribute_present?(:description)
 167           errors.add(:frozen_by_uuid, "can only be set if description is non-empty")
 168         end
 169         Rails.configuration.API.FreezeProjectRequiresProperties.andand.each do |key, _|
 170           key = key.to_s
 171           if !properties[key] || properties[key] == ""
 172             errors.add(:frozen_by_uuid, "can only be set if properties[#{key}] value is non-empty")
 173           end
 174         end
 175       end
 176     end
 177   end
 178
 179   def update_trash
 180     return unless saved_change_to_trash_at? || saved_change_to_owner_uuid?
 181
 182     # The group was added or removed from the trash.
 183     #
 184     # Strategy:
 185     #   Compute project subtree, propagating trash_at to subprojects
 186     #   Ensure none of the newly trashed descendants were frozen (if so, bail out)
 187     #   Remove groups that don't belong from trash
 188     #   Add/update groups that do belong in the trash
 189
 190     frozen_descendants = ActiveRecord::Base.connection.exec_query(%{
 191 with temptable as (select * from project_subtree_with_trash_at($1, LEAST($2, $3)::timestamp))
 192       select uuid from frozen_groups, temptable where uuid = target_uuid
 193 },
 194       "Group.update_trash.select",
 195       [self.uuid,
 196        TrashedGroup.find_by_group_uuid(self.owner_uuid).andand.trash_at,
 197        self.trash_at])
 198
 199     if frozen_descendants.any?
 200       raise ArgumentError.new("cannot trash project containing frozen project #{frozen_descendants[0]["uuid"]}")
 201     end
 202
 203     if self.trash_at and self.group_class == 'role'
 204       # if this is a role group that is now in the trash, it loses all
 205       # of its outgoing permissions.
 206       Link.where(link_class: 'permission', tail_uuid: self.uuid).destroy_all
 207     end
 208
 209     ActiveRecord::Base.connection.exec_query(%{
 210 with temptable as (select * from project_subtree_with_trash_at($1, LEAST($2, $3)::timestamp)),
 211
 212 delete_rows as (delete from trashed_groups where group_uuid in (select target_uuid from temptable where trash_at is NULL)),
 213
 214 insert_rows as (insert into trashed_groups (group_uuid, trash_at)
 215   select target_uuid as group_uuid, trash_at from temptable where trash_at is not NULL
 216   on conflict (group_uuid) do update set trash_at=EXCLUDED.trash_at)
 217
 218 select container_uuid from container_requests where
 219   owner_uuid in (select target_uuid from temptable) and
 220   requesting_container_uuid is NULL and state = 'Committed' and container_uuid is not NULL
 221 },
 222       "Group.update_trash.select",
 223       [self.uuid,
 224        TrashedGroup.find_by_group_uuid(self.owner_uuid).andand.trash_at,
 225        self.trash_at]).each do |container_uuid|
 226       update_priorities container_uuid["container_uuid"]
 227     end
 228   end
 229
 230   def update_frozen
 231     return unless saved_change_to_frozen_by_uuid? || saved_change_to_owner_uuid?
 232
 233     if frozen_by_uuid
 234       rows = ActiveRecord::Base.connection.exec_query(%{
 235 with temptable as (select * from project_subtree_with_is_frozen($1,$2))
 236
 237 select cr.uuid, cr.state from container_requests cr, temptable frozen
 238   where cr.owner_uuid = frozen.uuid and frozen.is_frozen
 239   and cr.state not in ($3, $4) limit 1
 240 },
 241                                                       "Group.update_frozen.check_container_requests",
 242                                                       [self.uuid,
 243                                                        !self.frozen_by_uuid.nil?,
 244                                                        ContainerRequest::Uncommitted,
 245                                                        ContainerRequest::Final])
 246       if rows.any?
 247         raise ArgumentError.new("cannot freeze project containing container request #{rows.first['uuid']} with state = #{rows.first['state']}")
 248       end
 249     end
 250
 251 ActiveRecord::Base.connection.exec_query(%{
 252 with temptable as (select * from project_subtree_with_is_frozen($1,$2)),
 253
 254 delete_rows as (delete from frozen_groups where uuid in (select uuid from temptable where not is_frozen))
 255
 256 insert into frozen_groups (uuid) select uuid from temptable where is_frozen on conflict do nothing
 257 }, "Group.update_frozen.update",
 258                                          [self.uuid,
 259                                           !self.frozen_by_uuid.nil?])
 260
 261   end
 262
 263   def before_ownership_change
 264     if owner_uuid_changed? and !self.owner_uuid_was.nil?
 265       ComputedPermission.where(user_uuid: owner_uuid_was, target_uuid: uuid).delete_all
 266       update_permissions self.owner_uuid_was, self.uuid, REVOKE_PERM
 267     end
 268   end
 269
 270   def after_ownership_change
 271     if saved_change_to_owner_uuid?
 272       update_permissions self.owner_uuid, self.uuid, CAN_MANAGE_PERM
 273     end
 274   end
 275
 276   def clear_permissions_trash_frozen
 277     Link.where(link_class: 'permission', tail_uuid: self.uuid).destroy_all
 278     ComputedPermission.where(target_uuid: uuid).delete_all
 279     ActiveRecord::Base.connection.exec_delete(
 280       "delete from trashed_groups where group_uuid=$1",
 281       "Group.clear_permissions_trash_frozen",
 282       [self.uuid])
 283     ActiveRecord::Base.connection.exec_delete(
 284       "delete from frozen_groups where uuid=$1",
 285       "Group.clear_permissions_trash_frozen",
 286       [self.uuid])
 287   end
 288
 289   def assign_name
 290     if self.new_record? and (self.name.nil? or self.name.empty?)
 291       self.name = self.uuid
 292     end
 293     true
 294   end
 295
 296   def ensure_owner_uuid_is_permitted
 297     if group_class == "role"
 298       @requested_manager_uuid = nil
 299       if new_record?
 300         @requested_manager_uuid = owner_uuid
 301         self.owner_uuid = system_user_uuid
 302         return true
 303       end
 304       if self.owner_uuid != system_user_uuid
 305         raise "Owner uuid for role must be system user"
 306       end
 307       raise PermissionDeniedError.new("role group cannot be modified without can_manage permission") unless current_user.can?(manage: uuid)
 308       true
 309     else
 310       super
 311     end
 312   end
 313
 314   def add_role_manage_link
 315     if group_class == "role" && @requested_manager_uuid
 316       act_as_system_user do
 317        Link.create!(tail_uuid: @requested_manager_uuid,
 318                     head_uuid: self.uuid,
 319                     link_class: "permission",
 320                     name: "can_manage")
 321       end
 322     end
 323   end
 324
 325   def permission_to_create
 326     if !super
 327       return false
 328     elsif group_class == "role" &&
 329        !Rails.configuration.Users.CanCreateRoleGroups &&
 330        !current_user.andand.is_admin
 331       raise PermissionDeniedError.new("this cluster does not allow users to create role groups")
 332     else
 333       return true
 334     end
 335   end
 336
 337   def permission_to_update
 338     if !super
 339       return false
 340     elsif frozen_by_uuid && frozen_by_uuid_was
 341       errors.add :uuid, "#{uuid} is frozen and cannot be modified"
 342       return false
 343     else
 344       return true
 345     end
 346   end
 347
 348   def self.full_text_searchable_columns
 349     super - ["frozen_by_uuid"]
 350   end
 351 end