Release Samba 4.21.0

Nach 6 Monaten Entwicklungszeit wird die Version Samba 4.21.0 veröffentlicht, die die Entwicklung der Samba 4-Reihe fortsetzt und eine vollständige Implementierung des Domänencontrollers sowie des Active Directory-Dienstes bietet, der mit der Windows 2008-Implementierung kompatibel ist und alle unterstützten Microsoft-Versionen von Windows-Clients, einschließlich Windows 11, bedienen kann. Samba 4 ist ein multifunktionales Serverprodukt, das auch eine Implementierung für einen Datei-, Druck- und Identifikationsserver (winbind) bereitstellt.

Wesentliche Änderungen in Samba 4.20:

• Die Sicherheit bei der Verarbeitung der Listen „valid users“, „invalid users“, „read list“ und „write list“ wurde verstärkt. Wenn aufgrund eines Datenübertragungsfehlers SID nicht aus dem Benutzernamen oder der Gruppe ermittelt werden kann, wird der problematische Eintrag in den Listen nicht ignoriert, sondern führt zu einer Fehlermeldung. Nicht existierende Benutzer und Gruppen werden ignoriert.
• In Server LDAP implementiert die Möglichkeit zur Authentifizierung mittels SASL über Kerberos oder NTLMSSP mit Verbindungsweiterleitung über TLS (ldaps oder starttls). Der Standardwert für die Einstellung ‚ldap server require strong auth‘ impliziert nun die Verwendung von SASL über TLS, was der Konfiguration von LdapEnforceChannelBinding in den NTDS-Parametern auf der Windows-Plattform entspricht.
• Die Implementierung der LDB-Datenbank, die in Samba AD DC verwendet wird, ist jetzt als öffentliche Bibliothek verfügbar, ohne dass ein separates tar-Archiv erstellt werden muss. Die Anbindung an die LDB Modules API für Python, die seit mehreren Jahren nicht funktioniert hat, wurde entfernt. Die Unicode-Verarbeitung in LDB wurde angepasst.
• Einige öffentliche Samba-Bibliotheken (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server und samdb) werden standardmäßig als intern (private) klassifiziert.
• Die Nutzung von ldaps aus ‚winbindd‘ und ‚net ads‘ wurde ermöglicht. In die Einstellung ‚client ldap sasl wrapping‘ wurde die Unterstützung für die Werte „starttls“ zur Verwendung von STARTTLS über den TCP-Port 389 und „ldaps“ für die Verwendung von TLS über den TCP-Port 636 hinzugefügt.
• Eine neue Option „dns hostname“ wurde hinzugefügt, um den Clientnamen im DNS festzulegen (standardmäßig „[netbios name].[realm]“).
• In Samba AD wurde die Rotation von abgelaufenen Passwörtern für Konten implementiert, bei denen der Anmeldeprozess über Smartcards erfolgt (ein entsprechender Parameter „smart card require for logon“ ist angegeben), wobei das Passwort als Backup-Option bei einem Rollback auf NTLM oder zur Verschlüsselung des lokalen Profils verwendet wird.
• Die Definition der Einstellungen „veto files“ und „hide files“ ist nun benutzerspezifisch und gruppenbasiert möglich. Beispielsweise „hide files : USERNAME = /somefile.txt/“.
• Automatische Aktualisierung des Keytabs nach Änderung des Passworts, das zur Authentifizierung des Computers in der Domäne (Machine-Passwort) verwendet wird, wurde sichergestellt.
• Ein neues VFS-Modul für das Ceph-Dateisystem wurde hinzugefügt, das die Low-Level-API libcephfs verwendet und eine höhere Leistung im Vergleich zum bestehenden cephfs-Modul ermöglicht. Für die Konfiguration des neuen Moduls sollte im smb.conf der Name 'ceph_new' anstelle von 'ceph' verwendet werden.
• Die Unterstützung für verwaltete gMSA-Konten (Group Managed Service Account), die dem Funktionsniveau der Active Directory-Domänendienste 2012 (Functional Level 2012) entsprechen, wurde hinzugefügt. In das Tool samba-tool wurden Befehle zur Verwaltung der gMSA-Stammsschlüssel (KDS) aufgenommen, wie z. B. 'samba-tool domain kds root_key create' und 'samba-tool domain kds root_key list'.
• Die Unterstützung für das Funktionsniveau der Active Directory-Domänendienste 2012R2 (Functional Level 2012R2) wurde implementiert.
• Es wurde daran gearbeitet, wiederholbare Builds sicherzustellen, um zu überprüfen, dass die Binärdatei aus den bereitgestellten Quelltexten erstellt wurde. Beispielsweise hängt das Build-Ergebnis nun nicht mehr von den Locale- und Verzeichniseinstellungen ab, in denen das Build durchgeführt wurde.
• Der Schutz sensibler Daten in /proc wurde hinzugefügt, um sicherzustellen, dass diese Informationen beim Aufruf von Samba-Tools nicht in den Ausgaben von ps oder top sichtbar sind.

Quelle: opennet.ru