Efter 6 måneders udvikling er Samba 4.21.0 blevet udgivet, som fortsætter udviklingen af Samba 4 med en fuld implementering af domænekontrolleren og Active Directory-tjenesten, der er kompatibel med implementeringen i Windows 2008 og i stand til at understøtte alle Microsoft-understøttede versioner af Windows-klienter, herunder Windows 11. Samba 4 er et multifunktionelt serverprodukt, der også tilbyder implementering af en filserver, printtjeneste og identifikationstjeneste (winbind).
Nøgleændringer i Samba 4.20:
- Sikkerheden ved behandling af listerne «valid users», «invalid users», «read list» og «write list» er blevet styrket. Hvis der på grund af en datatransmissionsfejl ikke kunne bestemmes SID ud fra brugernavnet eller gruppenavnet, ignoreres den problematiske post ikke i listerne, men fører til en fejlmeddelelse. Ikke-eksisterende brugere og grupper ignoreres.
- I serveren LDAP har fået mulighed for autentifikation ved hjælp af SASL via Kerberos eller NTLMSSP med forbindelsesprotokol på TLS (ldaps eller starttls). Standardindstillingen for ‘ldap server require strong auth’ forudsætter nu brug af SASL over TLS, hvilket svarer til at indstille LdapEnforceChannelBinding i NTDS-parametrene på Windows-platformen.
- Implementeringen af LDB-databasen, der bruges i Samba AD DC, er nu bygget som et offentligt bibliotek uden at oprette et isoleret tar-arkiv. Python-bindings til LDB Modules API, som har været ikke-fungerende i flere år, er blevet fjernet. Håndteringen af Unicode i LDB er blevet ændret.
- Nogle offentlige biblioteker fra Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server og samdb) er som standard blevet klassificeret som interne (private).
- Muligheden for at bruge ldaps fra ‘winbindd’ og ‘net ads’ er blevet introduceret. Indstillingen ‘client ldap sasl wrapping’ har fået tilføjet support for værdierne ‘starttls’ til brug af STARTTLS på tcp-port 389 og ‘ldaps’ til brug af TLS på tcp-port 636.
- En ny indstilling «dns hostname» er blevet tilføjet for at indstille klientnavnet i DNS (som standard «[netbios name].[realm]»).
- I Samba AD er der implementeret rotation af udløbne adgangskoder for konti, hvor indlogning kræver smarte kort (indstillingen «smart card require for logon» er angivet), og adgangskoden anvendes som en backup ved nedtrapning til NTLM eller til kryptering af den lokale profil.
- Det er muligt at definere indstillingerne «veto files» og «hide files» bundet til specifikke brugere og grupper. For eksempel «hide files : USERNAME = /somefile.txt/».
- Automatisk opdatering af keytab er sikret efter ændring af adgangskoden, der bruges til autentificering af computeren i domænet (maskineadgangskode).
- En ny VFS-modul til Ceph-filsystemet er tilføjet, som bruger det lavniveau API libcephfs og giver højere ydeevne sammenlignet med det eksisterende cephfs-modul. For at konfigurere det nye modul i smb.conf bør navnet ‘ceph_new’ bruges i stedet for ‘ceph’.
- Support for administrerede gMSA-konti (Group Managed Service Account) er tilføjet, hvilket er i overensstemmelse med funktionsniveauet for Active Directory-domænetjenester 2012 (Funktionsniveau 2012). Kommandoer til at arbejde med gMSA-rodklaringer (KDS), såsom «samba-tool domain kds root_key create» og «samba-tool domain kds root_key list», er tilføjet til samba-tool.
- Support for funktionsniveauet for Active Directory-domænetjenester 2012R2 (Funktionsniveau 2012R2) er implementeret.
- Der er udført arbejde for at sikre reproducerbare builds, der garanterer, at binærfilen er bygget fra de leverede kildekoder. For eksempel afhænger byggeresultatet nu ikke af locale-indstillingerne eller mappen, hvor bygningen fandt sted.
- Der er tilføjet beskyttelse mod reflektering af fortrolige data i /proc, der angives ved kald til Samba-værktøjer, så disse data ikke vises i output fra ps eller top.
Kilde: opennet.ru
