Efter 6 måneders udvikling er udgaven Samba 4.20.0 blevet præsenteret, som fortsætter udviklingen af Samba 4 med en fuld implementering af domænekontroller og Active Directory-tjenesten, der er kompatibel med implementeringen fra Windows 2008 og i stand til at understøtte alle Microsoft-versioner af Windows-klienter, herunder Windows 11. Samba 4 er et multifunktionelt serverprodukt, der også tilbyder en filserver, printservice og identifikationstjeneste (winbind).
Nøgleændringer i Samba 4.20:
- Som standard er den nye værktøj "wspsearch" aktiveret med implementeringen af en eksperimentel klient til WSP (Windows Search Protocol). Værktøjet gør det muligt at sende søgeforespørgsler til en Windows-server, der kører WSP-tjenesten.
- I kommandoen "smbcacls" er der tilføjet støtte til at skrive adgangskontrolister DACL til en fil og gendanne DACL fra en fil. Data gemmes i et format, der understøttes af Windows-værktøjet 'icacls.exe', hvilket sikrer bærbarhed af filer med gemte DACL (Discretionary Access Control List).
- Udvidelser er blevet tilføjet til værktøjet "samba-tool" for at understøtte centraliserede Active Directory-adgangspolitikker (Claims), autentificeringspolitikker (Authentication Policies) og politikcontainere (Authentication Silos). Samba-tool kan nu bruges til at knytte brugere til påstande (claims) til senere brug i regler, der definerer adgang i forbindelse med autentificeringspolitikken.
Desuden kan værktøjet samba-tool nu anvendes til at oprette og administrere autentificeringspolitikker samt til at oprette og styre politikcontainere. For eksempel kan samba-tool bruges til at definere, hvorfra og til hvor en bruger kan tilslutte sig, hvis NTLM-brug er tilladt, og hvilke tjenester brugeren kan autentificeres i.
- I den implementerede domænekontroller baseret på Samba domænet Active Directory er der tilføjet støtte til autentificeringspolitikker (Authentication Policies) og politikcontainere (Authentication Silos), der er oprettet via værktøjet samba-tool eller importeret fra Microsoft AD-konfigurationer. Denne funktion er kun tilgængelig på systemer med et Active Directory-funktionalitetsniveau på mindst 2012_R2 ("ad dc functional level = 2016" i smb.conf).
- Samba-tool har fået tilføjet klientside support for Group Managed Service Accounts (gMSA), hvor der bruges automatisk opdaterede adgangskoder. De administrative kommandoer til adgangskodehåndtering, der tidligere kun kunne bruges med den lokale database sam.ldb, kan nu også anvendes til eksterne server under autentificeret adgang ved at bruge indstillingen "-H ldap://$DCNAME. Blandt de understøttede operationer er: "samba-tool user getpassword" for at læse den nuværende og tidligere adgangskode for gMSA; "samba-tool user get-kerberos-ticket" for at skrive Kerberos TGT (Ticket Granting Ticket) til den lokale konto cache.
- Support til betingede adgangskontrolposter (Conditional ACE) er blevet tilføjet, hvilket gør det muligt at tillade eller blokere adgang afhængigt af yderligere betingelser - hvis betingelsen ikke er opfyldt, ignoreres ACE, ellers anvendes den som en almindelig ACE. Betingede kontroller kan også anvendes på attributter til den beskyttede objekt, beskrevet med attributter til systemressourcer (Resource Attribute ACE).
- Implementeringen af ctdb-klyngen har fået tilføjet muligheden for at tilbyde MS-SWN-tjenesten (Service Witness Protocol), som giver kunderne mulighed for at overvåge deres SMB-forbindelser til klyngeknuderne. For eksempel kan en klient, der er tilsluttet knude "A", anmode om, at knude "B" sender en notifikation, hvis knude "A" bliver utilgængelig. Til at administrere tjenesten er der foreslået en række kommandoer såsom "net witness [list|client-move|share-move|force-unregister|force-response]", som gør det muligt for klyngeadministratoren at se registrerede kunder og anmode om at flytte forbindelsen til andre knuder i klyngen.
- For konfigurationer med MIT Kerberos5, der fungerer som en Active Directory-domænecontroller, kræves nu mindst MIT Krb5 version 1.21, som indeholder ekstra beskyttelse mod sårbarheden CVE-2022-37967.
- Ved opbygning med importeret Heimdal Kerberos kræves det ikke længere at installere Perl-modulet JSON, idet det indbyggede Perl5-modul JSON::PP nu anvendes i stedet.
- I kommandoerne "samba-tool user getpassword" og "samba-tool user syncpasswords", der bruges til at definere og synkronisere adgangskoder, er output ændret, når parameteren ";rounds=" bruges sammen med attributterne virtualCryptSHA256 og virtualCryptSHA512 (for eksempel ‘—attributes="virtualCryptSHA256;rounds=50000"’). Tidligere: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Nu: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- I implementeringen af MS-WKST (Workstation Service Remote Protocol) er understøttelsen af udskrivning af listen over tilsluttede brugere baseret på indholdet af filen /var/run/utmp, der opbevarer data om brugere, der aktuelt arbejder i systemet, blevet afbrudt. Støtten til utmp er blevet stoppet på grund af dette formats sårbarhed over for 2038-problemet.
Kilde: opennet.ru
