След 6 месеца разработка е представен релиз Samba 4.21.0, който продължава напредъка на клон Samba 4 с пълна реализация на контролера на домейна и услугата Active Directory, съвместима с реализацията на Windows 2008 и способна да обслужва всички поддържани Microsoft версии на Windows клиенти, включително Windows 11. Samba 4 е многофункционален сървърен продукт, който предоставя също така реализация на файлов сървър, печатна услуга и сървър за идентификация (winbind).
Ключевые изменения в Samba 4.20:
- Усилена е сигурността при обработката на списъците «valid users», «invalid users», «read list» и «write list». Ако поради грешка в предаването на данни не е успяло да се определи SID по името на потребителя или групата, проблемната запис в списъците не се игнорира, а води до извеждане на грешка. Несъществуващите потребители и групи се игнорират.
- В сървър В LDAP е реализирана възможност за аутентификация чрез SASL през Kerberos или NTLMSSP с пробросване на връзките през TLS (ldaps или starttls). Стойността по подразбиране за настройката ‘ldap server require strong auth’ сега подразбира използването на SASL през TLS, което е еквивалентно на задаването на LdapEnforceChannelBinding в параметрите NTDS на платформата Windows.
- Реализацията на БД LDB, използвана в Samba AD DC, вече се събира под формата на публична библиотека без създаване на отделен tar-архив. Премахната е обвивката с LDB Modules API за Python, която вече няколко години не работи. Променена е обработката на Unicode в LDB.
- Някои публични библиотеки на Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server и samdb) по подразбиране са преведени в категорията вътрешни (private).
- Предоставена е възможност за използване на ldaps от ‘winbindd’ и ‘net ads’. Към настройката ‘client ldap sasl wrapping’ е добавена поддръжка за стойности ‘starttls’ за използване на STARTTLS на tcp-порт 389 и ‘ldaps’ за използване на TLS на tcp-порт 636.
- Добавена е нова опция «dns hostname» за задаване на името на клиента в DNS (по подразбиране «[netbios name].[realm]»).
- В Samba AD е реализирана ротация на просрочените парола за акаунти, за вход с които се използват смарткарти (указана е настройка «smart card require for logon»), а паролата се използва като резервен вариант при откат на NTLM или за криптиране на локалния профил.
- Разрешено е определянето на настройки «veto files» и «hide files» в зависимост от конкретни потребители и групи. Например, «hide files : USERNAME = /somefile.txt/».
- Автоматично се извършва обновление на keytab след смяна на паролата, използвана за удостоверяване на компютъра в домейн (machine password).
- Добавен е нов VFS модул за FS Ceph, който използва нискоуровневия API libcephfs и позволява постигането на по-висока производителност в сравнение с настоящия модул cephfs. За конфигуриране на новия модул в smb.conf трябва да се използва името ‘ceph_new’ вместо ‘ceph’.
- Добавена е поддръжка за управлявани учетни записи gMSA (Group Managed Service Account), съответстваща на функционалното ниво на домейновите услуги Active Directory 2012 (Functional Level 2012). В утилитата samba-tool са добавени команди за работа с кореновите ключове gMSA (KDS), като „samba-tool domain kds root_key create“ и „samba-tool domain kds root_key list“.
- Реализирана е поддръжка на функционалното ниво на домейновите услуги Active Directory 2012R2 (Functional Level 2012R2).
- Извършена е работа по осигуряване на повторяеми сборки, позволяващи уверение, че бинарният файл е събран от предоставените изходни текстове. Например, резултатът от сборката вече не зависи от настройките на локализацията и директорията, в която е извършена сборката.
- Добавена е защита от отразяване в /proc на конфиденциални данни, указвани при извикване на утилитите Samba, така че тези данни да не са видими в изхода на ps или top.
Източник: opennet.ru
