Nach 6 Monaten Entwicklung wurde die Version Samba 4.20.0 veröffentlicht, die die Entwicklung der Samba 4-Serie fortsetzt und einen voll funktionsfähigen Domaincontroller sowie einen Active Directory-Dienst bietet, der mit der Version Windows 2008 kompatibel ist und alle von Microsoft unterstützten Windows-Clients, einschließlich Windows 11, bedienen kann. Samba 4 ist ein vielseitiges Serverprodukt, das auch eine Datei-, Druck- und Identitätsserverlösung (winbind) bereitstellt.
Wesentliche Änderungen in Samba 4.20:
- Standardmäßig ist die neue Dienstprogramm-Sammlung „wspsearch“ aktiviert, die einen experimentellen Client für das Protokoll WSP (Windows Search Protocol) implementiert. Das Dienstprogramm ermöglicht das Senden von Suchanfragen an einen Windows-Server, auf dem der WSP-Dienst ausgeführt wird.
- Im Team „smbcacls“ wurde die Unterstützung für das Schreiben von Zugriffssteuerungslisten (DACL) in eine Datei und die Wiederherstellung von DACL aus einer Datei implementiert. Die Daten werden im von der Windows-Dienstprogramm ‘icacls.exe’ unterstützten Format gespeichert, was die Portabilität von Dateien mit gespeicherten DACL (Discretionary Access Control List) gewährleistet.
- Das Utility «samba-tool» hat Erweiterungen für zentrale Zugriffsrichtlinien von Active Directory (Claims), Authentifizierungsrichtlinien (Authentication Policies) und Richtliniencontainer (Authentication Silos) hinzugefügt. Samba-tool kann jetzt verwendet werden, um Benutzer mit Claims zu verknüpfen, die anschließend in Regeln verwendet werden, die den Zugang im Rahmen von Authentifizierungsrichtlinien definieren.
Darüber hinaus kann das Utility samba-tool jetzt zum Erstellen und Verwalten von Authentifizierungsrichtlinien sowie zum Erstellen und Verwalten von Richtliniencontainern verwendet werden. Beispielsweise kann mit samba-tool festgelegt werden, woher und wohin ein Benutzer sich verbinden kann, wenn NTLM verwendet wird, sowie bei welchen Diensten der Benutzer authentifiziert werden kann.
- Im Samba-gestützten Controller Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden. wurde die Unterstützung für Authentifizierungsrichtlinien (Authentication Policies) und Richtliniencontainer (Authentication Silos) hinzugefügt, die über das Utility samba-tool erstellt oder aus Microsoft AD-Konfigurationen importiert wurden. Diese Funktion ist nur auf Systemen mit mindestens 2012_R2 Functional Level von Active Directory verfügbar (»ad dc functional level = 2016« in smb.conf).
- Im samba-tool wurde Unterstützung für Client-seitige managed Servicekonten (gMSA) hinzugefügt, bei denen automatisch aktualisierte Passwörter verwendet werden. Die im samba-tool verfügbaren Passwortmanagement-Befehle, die zuvor nur mit der lokalen Datenbank sam.ldb verwendet werden konnten, können jetzt auch auf externe Systemdatenbanken angewendet werden Server bei authentifiziertem Zugriff unter Verwendung der Option „-H ldap://$DCNAME“. Zu den unterstützten Operationen gehören: „samba-tool user getpassword“ zum Abrufen des aktuellen und vorherigen gMSA-Passworts; „samba-tool user get-kerberos-ticket“ zum Schreiben des Kerberos TGT (Ticket Granting Ticket) in den lokalen Benutzerkonto-Cache.
- Unterstützung für bedingte Zugangskontrolllisten (Conditional ACE) wurde hinzugefügt, die den Zugriff basierend auf zusätzlichen Bedingungen erlauben oder blockieren. Wenn der bedingte Ausdruck nicht zutrifft, wird die ACE ignoriert; andernfalls wird sie wie eine normale ACE angewendet. Bedingte Überprüfungen können auch auf die Attribute des geschützten Objekts angewendet werden, die durch Ressourcenattribute (Resource Attribute ACE) beschrieben werden.
- Im Cluster ctdb wurde die Möglichkeit zur Bereitstellung des Dienstes MS-SWN (Service Witness Protocol) hinzugefügt, mit dem Kunden ihre SMB-Verbindungen zu den Knoten des Clusters überwachen können. Zum Beispiel kann ein an Knoten „A“ angeschlossener Kunde Knoten „B“ auffordern, eine Benachrichtigung zu senden, falls Knoten „A“ nicht mehr verfügbar ist. Zur Verwaltung des Dienstes wird eine Reihe von Befehlen "net witness [list|client-move|share-move|force-unregister|force-response]" angeboten, die dem Clusteradministrator ermöglichen, die registrierten Clients anzuzeigen und die Übertragung von Verbindungen auf andere Knoten des Clusters anzufordern.
- Für Konfigurationen mit MIT Kerberos5, die als Active Directory-Domaincontroller fungieren, wird jetzt mindestens die Version MIT Krb5 1.21 benötigt, die zusätzlichen Schutz gegen die Schwachstelle CVE-2022-37967 bietet.
- Beim Bauen mit importiertem Heimdal Kerberos ist keine Installation des Perl-Moduls JSON mehr erforderlich, stattdessen wird das in Perl5 eingebaute Modul JSON::PP verwendet.
- Bei den Befehlen „samba-tool user getpassword“ und „samba-tool user syncpasswords“, die zur Bestimmung und Synchronisierung von Passwörtern verwendet werden, wurde die Ausgabe beim Einsatz des Parameters „;rounds=“ mit den Attributen virtualCryptSHA256 und virtualCryptSHA512 geändert (zum Beispiel ‚—attributes=„virtualCryptSHA256;rounds=50000“‘). Früher: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Jetzt: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- Die Unterstützung für die Ausgabe der Liste der verbundenen Benutzer basierend auf dem Inhalt der Datei /var/run/utmp, die Daten über derzeit im System aktive Benutzer speichert, wurde in der Implementierung von MS-WKST (Workstation Service Remote Protocol) eingestellt. Die Unterstützung für utmp wurde aufgrund der Anfälligkeit dieses Formats für das Jahr 2038 beendet.
Quelle: opennet.ru
