Po šesti měsících vývoje byl představen vydání Samba 4.21.0, které pokračuje ve vývoji větve Samba 4 s plnou implementací doménového řadiče a služby Active Directory, kompatibilní s implementací Windows 2008 a schopné obsluhovat všechny podporované verze Windows klientů od Microsoftu, včetně Windows 11. Samba 4 je multifunkční serverový produkt, který také poskytuje implementaci souborového serveru, tiskové služby a serveru identifikace (winbind).
Hlavní změny v Samba 4.20:
- Byla posílena bezpečnost zpracování seznamů „valid users“, „invalid users“, „read list“ a „write list“. Pokud se kvůli chybě přenosu dat nepodařilo určit SID podle uživatelského jména nebo skupiny, problémový záznam v seznamech není ignorován, ale vede k výstupu chyby. Neexistující uživatelé a skupiny jsou ignorovány.
- V serveru LDAP nyní umožňuje autentizaci pomocí SASL přes Kerberos nebo NTLMSSP s tunelováním spojení přes TLS (ldaps nebo starttls). Výchozí hodnota nastavení 'ldap server require strong auth' nyní předpokládá použití SASL přes TLS, což je ekvivalentní nastavení LdapEnforceChannelBinding v parametrech NTDS na platformě Windows.
- Implementace databáze LDB, používaná v Samba AD DC, nyní sestavuje ve formě veřejné knihovny bez vytváření odděleného tar archivu. Byla odstraněna vazba na LDB Modules API pro Python, která již několik let nefunguje. Bylo změněno zpracování Unicode v LDB.
- Některé veřejné knihovny Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server a samdb) byly výchozí hodnotou převedeny do kategorie interních (private).
- Byla poskytnuta možnost použití ldaps z 'winbindd' a 'net ads'. Do nastavení 'client ldap sasl wrapping' byla přidána podpora hodnot 'starttls' pro použití STARTTLS na tcp portu 389 a 'ldaps' pro použití TLS na tcp portu 636.
- Byla přidána nová možnost „dns hostname“ pro nastavení názvu klienta v DNS (výchozí „[netbios name].[realm]“).
- V Samba AD byla implementována rotace prošlých hesel pro účty, pro které se používají smart karty (nastaveno pomocí „smart card require for logon“), a heslo se používá jako záložní varianta při přepnutí na NTLM nebo pro šifrování lokálního profilu.
- Bylo povoleno určování nastavení „veto files“ a „hide files“ vázaných na jednotlivé uživatele a skupiny. Například „hide files : USERNAME = /somefile.txt/“.
- Bylo zajištěno automatické aktualizace keytab po změně hesla používaného pro autentizaci počítače v doméně (machine password).
- Byl přidán nový VFS modul pro souborový systém Ceph, který používá nízkoúrovňové API libcephfs a umožňuje dosáhnout vyšší výkonnosti ve srovnání s existujícím modulem cephfs. Pro konfiguraci nového modulu v smb.conf je třeba použít název 'ceph_new' místo 'ceph'.
- Byla přidána podpora spravovaných účtů gMSA (Group Managed Service Account), odpovídající funkční úrovni doménových služeb Active Directory 2012 (Functional Level 2012). Do nástroje samba-tool byly přidány příkazy pro práci se základními klíči gMSA (KDS), jako například 'samba-tool domain kds root_key create' a 'samba-tool domain kds root_key list'.
- Byla implementována podpora funkční úrovně doménových služeb Active Directory 2012R2 (Functional Level 2012R2).
- Byla provedena práce na zajištění opakovatelných sestavení, která umožňují ověřit, že binární soubor byl sestaven z poskytnutých zdrojových textů. Například výsledek sestavení nyní nezávisí na nastaveních lokality a adresáře, ve kterém bylo sestavení provedeno.
- Byla přidána ochrana proti odražení v /proc citlivých dat, uváděných při volání utilit Samba, aby tato data nebyla viditelná ve výstupu ps nebo top.
Zdroj: opennet.ru
