Release Samba 4.20.0

Nach 6 Monaten Entwicklung wurde die Version Samba 4.20.0 präsentiert, die die Entwicklung des Samba 4-Zweigs mit einer voll funktionsfähigen Implementierung des Domänencontrollers und des Active Directory-Dienstes fortsetzt, der mit der Implementierung von Windows 2008 kompatibel ist und alle unterstützten Microsoft-Versionen von Windows-Clients, einschließlich Windows 11, bedienen kann. Samba 4 ist ein multifunktionales Serverprodukt, das auch eine Implementierung eines Dateiservers, eines Druckdienstes und eines Identifikationsservers (winbind) bietet.

Wesentliche Änderungen in Samba 4.20:

• Standardmäßig ist der Build des neuen Tools „wspsearch“ mit einer Implementierung des experimentellen Clients für das WSP-Protokoll (Windows Search Protocol) aktiviert. Das Tool ermöglicht das Senden von Suchanfragen an einen Windows-Server, auf dem der WSP-Dienst ausgeführt wird.
• Im Befehl „smbcacls“ wurde die Unterstützung für das Schreiben von Zugriffskontrolllisten (DACL) in eine Datei und das Wiederherstellen von DACL aus einer Datei implementiert. Die Daten werden im von dem Windows-Tool ‚icacls.exe‘ unterstützten Format gespeichert, was die Portabilität von Dateien mit gespeicherten DACL (Discretionary Access Control List) gewährleistet.
• Im Tool „samba-tool“ wurden Erweiterungen für zentralisierte Active Directory-Zugriffsrichtlinien (Claims), Authentifizierungsrichtlinien (Authentication Policies) und Richtliniencontainer (Authentication Silos) hinzugefügt. Samba-tool kann nun verwendet werden, um einen Benutzer mit Claims zu verknüpfen, die in den Regeln verwendet werden, die den Zugriff im Rahmen der Authentifizierungsrichtlinien bestimmen.

  Darüber hinaus kann das Tool samba-tool jetzt zur Erstellung und Verwaltung von Authentifizierungsrichtlinien sowie zur Erstellung und Verwaltung von Richtliniencontainern verwendet werden. Zum Beispiel kann mit samba-tool bestimmt werden, woher und wohin sich ein Benutzer verbinden kann, wenn NTLM verwendet wird, und in welchen Diensten der Benutzer authentifiziert werden kann.
• Im auf Samba basierenden Controller der Domain unterscheiden, gesetzt werden. Active Directory wurde die Unterstützung für Authentifizierungsrichtlinien (Authentication Policies) und Richtliniencontainer (Authentication Silos) hinzugefügt, die über das Tool samba-tool erstellt oder aus Microsoft AD-Konfigurationen importiert wurden. Diese Möglichkeit ist nur auf Systemen mit mindestens dem Funktionsniveau von Active Directory 2012_R2 („ad dc functional level = 2016“ in smb.conf) verfügbar.
• In das Samba-Tool wurde die clientseitige Unterstützung für verwaltete Konten gMSA (Group Managed Service Account) hinzugefügt, bei denen automatisch aktualisierte Passwörter verwendet werden. Die im Samba-Tool bereitgestellten Passwortverwaltungsbefehle, die zuvor nur mit der lokalen Datenbank sam.ldb verwendet werden konnten, können jetzt auch extern angewendet werden. zu einem Server bei authentifiziertem Zugriff unter Verwendung der Option „-H ldap://$DCNAME“. Zu den unterstützten Operationen gehören: „samba-tool user getpassword“ zum Abrufen des aktuellen und vorherigen gMSA-Passworts; „samba-tool user get-kerberos-ticket“ zum Schreiben eines Kerberos TGT (Ticket Granting Ticket) in den lokalen Cache der Konten.
• Die Unterstützung von bedingten Zugriffskontroll-Einträgen (Conditional ACE) wurde hinzugefügt, die den Zugriff je nach zusätzlichen Bedingungen erlauben oder blockieren. Wenn die Bedingung nicht erfüllt ist, wird der ACE ignoriert, andernfalls wird er wie ein normaler ACE angewendet. Bedingte Prüfungen können auch auf die Attribute des geschützten Objekts angewendet werden, die durch Attribute der systemeigenen Ressourcen (Resource Attribute ACE) beschrieben werden.
• In die ctdb-Clusterimplementierung wurde die Möglichkeit zur Bereitstellung des MS-SWN (Service Witness Protocol) hinzugefügt, mit dem Clients ihre SMB-Verbindungen zu Cluster-Knoten überwachen können. Zum Beispiel kann ein an Knoten „A“ angeschlossener Client den Knoten „B“ bitten, eine Benachrichtigung zu senden, falls Knoten „A“ nicht mehr verfügbar ist. Zur Verwaltung des Dienstes wurde eine Reihe von Befehlen „net witness [list|client-move|share-move|force-unregister|force-response]“ vorgeschlagen, die es dem Clusteradministrator ermöglichen, registrierte Clients anzuzeigen und den Wechsel von Verbindungen zu anderen Knoten im Cluster anzufordern.
• Für Konfigurationen mit MIT Kerberos5, die als Active Directory-Domänencontroller fungieren, ist nun mindestens die Version MIT Krb5 1.21 erforderlich, in der ein zusätzlicher Schutz vor der Schwachstelle CVE-2022-37967 eingeführt wurde.
• Bei der Erstellung mit importiertem Heimdal Kerberos ist die Installation des Perl-Moduls JSON nicht mehr erforderlich, stattdessen wird das in Perl5 integrierte Modul JSON::PP verwendet.
• In den Befehlen „samba-tool user getpassword“ und „samba-tool user syncpasswords“, die zur Bestimmung und Synchronisierung von Passwörtern verwendet werden, wurde die Ausgabe bei Verwendung des Parameters „;rounds=“ mit den Attributen virtualCryptSHA256 und virtualCryptSHA512 geändert (zum Beispiel ‚—attributes="virtualCryptSHA256;rounds=50000"‘). Vorher: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF. Jetzt: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF.
• In der Umsetzung von MS-WKST (Workstation Service Remote Protocol) wurde die Unterstützung für die Anzeige der Liste der angemeldeten Benutzer auf der Grundlage des Inhalts der Datei /var/run/utmp eingestellt, die Informationen über die derzeit im System aktiven Benutzer speichert. Die Unterstützung für utmp wurde aufgrund der Anfälligkeit dieses Formats für das Problem von 2038 eingestellt.

Quelle: opennet.ru