След шестимесячной разработки представлен релиз Samba 4.20.0, продолживший развитие ветки Samba 4 с полной реализацией контроллера домена и службы Active Directory, совместимой с реализацией Windows 2008 и способной обслуживать все поддерживаемые версии Windows-клиентов от Microsoft, включая Windows 11. Samba 4 является многофункциональным серверным продуктом, который также предоставляет реализацию файлового сервера, службы печати и сервера идентификации (winbind).
Ключевые изменения в Samba 4.20:
- По умолчанию включена новая утилита «wspsearch», с реализованным экспериментальным клиентом для протокола WSP (Windows Search Protocol). Утилита позволяет отправлять поисковые запросы на Windows-сервер, на котором запущена служба WSP.
- В команде «smbcacls» реализована поддержка записи списков управления доступом DACL в файл и восстановления DACL из файла. Данные сохраняются в формате, поддерживаемом Windows-утилитой ‘icacls.exe’, что обеспечивает переносимость файлов с сохранёнными DACL (Список Дискреционного Управления Доступом).
- В утилиту «samba-tool» добавлены расширения для централизованных политик доступа Active Directory (Claims), политик аутентификации (Authentication Policies) и контейнеров политик (Authentication Silos). Samba-tool теперь можно использовать для связывания пользователя с утверждениями (claims) для последующего использования в правилах, определяющих возможность доступа в рамках политики аутентификации.
Кроме того, утилита samba-tool теперь может применяться для создания политик аутентификации и управления ими, а также для создания и управления контейнерами политик. Например, с помощью samba-tool можно определить, откуда и куда может подключиться пользователь, если разрешено использование NTLM, и в каких службах пользователь может быть аутентифицирован.
- В реализуемом на базе Samba контроллере домейн Active Directory добавлена поддержка политик аутентификации (Authentication Policies) и контейнеров политик (Authentication Silos), созданных через утилиту samba-tool или импортированных из конфигураций Microsoft AD. Возможность доступна только на системах с функциональным уровнем Active Directory не ниже 2012_R2 («ad dc functional level = 2016» в smb.conf).
- В утилитата samba-tool е добавена клиентска поддръжка за управлявани потребителски акаунти gMSA (Group Managed Service Account), при които се използват автоматично актуализирани пароли. Командите за управление на паролите, предоставяни от samba-tool, които преди можеха да се използват само с локалната база данни sam.ldb, сега могат да се прилагат и към външната. сървъра при удостоверен достъп, използвайки опцията „-H ldap://$DCNAME. Сред поддържаните операции: „samba-tool user getpassword“ за прочит на текущата и предишната парола на gMSA; „samba-tool user get-kerberos-ticket“ за запис на Kerberos TGT (Ticket Granting Ticket) в локалния кеш на акаунтите.
- Добавена е поддръжка на условни записи за контрол на достъпа (Conditional ACE), позволяваща разрешаване или блокиране на достъпа в зависимост от допълнителни условия — ако условието не е изпълнено, ACE се игнорира, а в противен случай се прилага като обикновен ACE. Условни проверки могат да се прилагат и към атрибутите на защитения обект, описвани от атрибутите на системните ресурси (Resource Attribute ACE).
- В реализацията на кластера ctdb е добавена възможността за предоставяне на услугата MS-SWN (Service Witness Protocol), чрез която клиентите могат да проследяват своите SMB-съединения към възлите на кластера. Например, клиент, свързан с възел „A“, може да поиска възел „B“ да изпрати уведомление, ако възел „A“ стане недостъпен. За управление на услугата е предложен набор от команди „net witness [list|client-move|share-move|force-unregister|force-response]“, позволяващи на администратора на клъстера да преглежда регистрираните клиенти и да иска прехвърляне на съединението на други възли на кластера.
- За конфигурации с MIT Kerberos5, работещи в роля на контролер на домейн Active Directory, вече е изисквана минимално версия MIT Krb5 1.21, в която е добавена допълнителна защита от уязвимост CVE-2022-37967.
- При компилация с импортиран Heimdal Kerberos вече не е необходимо инсталирането на Perl модула JSON, вместо това се използва вграденият в Perl5 модул JSON::PP.
- В командите „samba-tool user getpassword“ и „samba-tool user syncpasswords“, използвани за определяне и синхронизиране на паролата, е променен изходът при използване на параметъра „;rounds=“ с атрибутите virtualCryptSHA256 и virtualCryptSHA512 (например, ‘—attributes="virtualCryptSHA256;rounds=50000"‘). Беше: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Стана: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- В реализация MS-WKST (Remote Protocol за услуга Workstation) е прекратена поддръжката на извеждане на списъка с активни потребители на базата на съдържанието на файла /var/run/utmp, който съдържа данни за потребителите, в момента работещи в системата. Поддръжката на utmp е прекратена поради уязвимост на формата спрямо проблема от 2038 година.
Източник: opennet.ru
