Po 6 měsících vývoje byl představen release Samba 4.20.0, který pokračuje ve vývoji větve Samba 4 s plnou implementací řadiče domény a služby Active Directory kompatibilní s implementací Windows 2008, schopné obsluhovat všechny podporované verze klientů Windows, včetně Windows 11. Samba 4 je multifunkční serverový produkt, který poskytuje také implementaci souborového serveru, tiskové služby a serveru identifikace (winbind).
Hlavní změny v Samba 4.20:
- Ve výchozím nastavení je zahrnuta nová utilita 'wspsearch' s implementací experimentálního klienta pro protokol WSP (Windows Search Protocol). Utilita umožňuje zasílat dotazy na Windows server, na kterém běží služba WSP.
- V příkazu 'smbcacls' byla implementována podpora zápisu seznamů řízení přístupu DACL do souboru a obnovení DACL ze souboru. Data jsou uložena ve formátu podporovaném Windows utilitou 'icacls.exe', což zajišťuje přenositelnost souborů se zachovanými DACL (Discretionary Access Control List).
- Do utility 'samba-tool' byla přidána rozšíření pro centralizované politiky přístupu Active Directory (Claims), politiky autentizace (Authentication Policies) a kontejnery politik (Authentication Silos). Samba-tool lze nyní použít k propojení uživatele s tvrzeními (claims) pro pozdější použití v pravidlech definujících přístupnost v rámci politiky autentizace.
Kromě toho může být utilita samba-tool nyní použita k vytváření a správě politik autentizace, jakož i k vytváření a správě kontejnerů politik. Například pomocí samba-tool lze určit, odkud a kam se může uživatel připojit, pokud je povoleno použití NTLM, a v jakých službách může být uživatel autentizován.
- V implementaci na základě Samba je řadič domény Active Directory přidána podpora politik autentizace (Authentication Policies) a kontejnerů politik (Authentication Silos), vytvořených prostřednictvím utility samba-tool nebo importovaných z konfigurací Microsoft AD. Tato možnost je dostupná pouze na systémech s funkčním úrovní Active Directory alespoň 2012_R2 ('ad dc functional level = 2016' v smb.conf).
- Do nástroje samba-tool byla přidána funkce klientské podpory pro spravované účty gMSA (Group Managed Service Account), které používají automaticky aktualizovaná hesla. Příkazy pro správu hesel, které byly dříve k dispozici pouze s místní databází sam.ldb, lze nyní aplikovat také na externí. serveru při autentifikovaném přístupu pomocí volby „-H ldap://$DCNAME“. Mezi podporované operace patří: „samba-tool user getpassword“ pro čtení aktuálního a předchozího hesla gMSA; „samba-tool user get-kerberos-ticket“ pro zápis Kerberos TGT (Ticket Granting Ticket) do místního cache účtů.
- Byla přidána podpora podmínkových záznamů řízení přístupu (Conditional ACE), která umožňuje povolit nebo zablokovat přístup na základě dalších podmínek — pokud podmínkový výraz nevyhoví, ACE je ignorováno, jinak se aplikuje jako běžné ACE. Podmínkové kontroly mohou být také aplikovány na atributy chráněného objektu, které jsou popsány atributy systémových zdrojů (Resource Attribute ACE).
- Do implementation clustera ctdb byla přidána možnost poskytovat službu MS-SWN (Service Witness Protocol), prostřednictvím které mohou klienti sledovat své SMB připojení k uzlům clusteru. Například klient připojený k uzlu „A“ může požádat uzel „B“, aby poslal oznámení, pokud uzel „A“ nebude dostupný. Pro správu služby byla navržena série příkazů „net witness [list|client-move|share-move|force-unregister|force-response]“, které umožňují správci clusteru prohlížet registrované klienty a požadovat přesun připojení na jiné uzly clusteru.
- Pro konfigurace s MIT Kerberos5, které fungují jako ověřovatel domény Active Directory, je nyní vyžadována alespoň verze MIT Krb5 1.21, která obsahuje další ochranu proti zranitelnosti CVE-2022-37967.
- Při sestavování s importovaným Heimdal Kerberos již není potřeba instalovat modul Perl JSON, místo toho se používá vestavěný modul JSON::PP v Perl5.
- V příkazech „samba-tool user getpassword“ a „samba-tool user syncpasswords“, které se používají k určení a synchronizaci hesla, byl změněn výstup při použití parametru „;rounds=“ s atributy virtualCryptSHA256 a virtualCryptSHA512 (například ‚--attributes="virtualCryptSHA256;rounds=50000"‘). Bylo: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Stalo se: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- V implementaci MS-WKST (Protokol vzdálené služby pracovních stanic) byla zastavena podpora výstupu seznamu připojených uživatelů na základě obsahu souboru /var/run/utmp, který uchovává data o uživatelích aktuálně pracujících v systému. Podpora utmp byla ukončena kvůli zranitelnosti tohoto formátu vůči problému roku 2038.
Zdroj: opennet.ru
