Release Samba 4.21.0

Nach 6 Monaten Entwicklung wurde das Release Samba 4.21.0 vorgestellt, das die Entwicklung des Samba 4-Zweigs mit einer vollständigen Implementierung des Domänencontrollers und des Active Directory-Services fortsetzt, der kompatibel mit Windows 2008 ist und alle unterstützten Microsoft-Versionen von Windows-Clients, einschließlich Windows 11, bedienen kann. Samba 4 ist ein multifunktionales Serverprodukt, das auch die Implementierung eines Dateiservers, Druckdienstes und Identitätsservers (winbind) bietet.

Wesentliche Änderungen in Samba 4.20:

• Die Sicherheit der Verarbeitung der Listen „valid users“, „invalid users“, „read list“ und „write list“ wurde verstärkt. Wenn aufgrund eines Datenübertragungsfehlers die SID anhand des Benutzernamens oder der Gruppe nicht bestimmt werden kann, wird der fehlerhafte Eintrag in den Listen nicht ignoriert, sondern führt zur Ausgabe eines Fehlers. Nicht vorhandene Benutzer und Gruppen werden ignoriert.
• Im Server LDAP ermöglicht jetzt die Authentifizierung über SASL mittels Kerberos oder NTLMSSP mit Verbindungstunneling über TLS (ldaps oder starttls). Der Standardwert der Einstellung ‚ldap server require strong auth‘ impliziert jetzt die Verwendung von SASL über TLS, was der Einstellung von LdapEnforceChannelBinding in den NTDS-Parametern auf der Windows-Plattform entspricht.
• Die LDB-Datenbankimplementierung, die in Samba AD DC verwendet wird, wird jetzt in Form einer öffentlichen Bibliothek ohne die Erstellung eines separaten Tar-Archivs zusammengestellt. Die Bindung an die LDB Modules API für Python, die seit einigen Jahren nicht mehr funktioniert, wurde entfernt. Die Verarbeitung von Unicode in LDB wurde geändert.
• Einige öffentliche Samba-Bibliotheken (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server und samdb) wurden standardmäßig in den internen (private) Bereich verschoben.
• Es wurde die Möglichkeit hinzugefügt, ldaps aus ‚winbindd‘ und ‚net ads‘ zu verwenden. In die Einstellung ‚client ldap sasl wrapping‘ wurde die Unterstützung für die Werte ‚starttls‘ zur Nutzung von STARTTLS über den TCP-Port 389 und ‚ldaps‘ zur Nutzung von TLS über den TCP-Port 636 integriert.
• Eine neue Option „dns hostname“ wurde hinzugefügt, um den Clientnamen im DNS festzulegen (standardmäßig „[netbios name].[realm]“).
• In Samba AD wurde die Rotation abgelaufener Passwörter für Konten implementiert, bei denen der Zugang mit Smartcards erfolgt (die Einstellung „smart card require for logon“ ist angegeben), während das Passwort als Backup-Option beim Rollback auf NTLM oder zur Verschlüsselung des lokalen Profils verwendet wird.
• Die Definition der Einstellungen „veto files“ und „hide files“ ist jetzt benutzerspezifisch und gruppenspezifisch möglich. Zum Beispiel „hide files : USERNAME = /somefile.txt/“.
• Die automatische Aktualisierung des Keytabs nach einer Passwortänderung, die zur Authentifizierung des Computers in der Domäne (Maschinenpasswort) verwendet wird, wurde sichergestellt.
• Ein neues VFS-Modul für das Ceph-Dateisystem wurde hinzugefügt, das die Low-Level-API libcephfs nutzt und eine höhere Leistung im Vergleich zum bestehenden cephfs-Modul ermöglicht. Zur Konfiguration des neuen Moduls sollte in der smb.conf der Name 'ceph_new' anstelle von 'ceph' verwendet werden.
• Unterstützung für verwaltete gMSA-Konten (Group Managed Service Account) hinzugefügt, die dem funktionalen Niveau der Active Directory-Domänendienste 2012 entsprechen (Functional Level 2012). In das Samba-Tool wurden Befehle zur Verwaltung der gMSA-Stammschlüssel (KDS) aufgenommen, wie z.B. 'samba-tool domain kds root_key create' und 'samba-tool domain kds root_key list'.
• Unterstützung für das funktionale Niveau der Active Directory-Domänendienste 2012R2 (Functional Level 2012R2) implementiert.
• Arbeiten zur Gewährleistung reproduzierbarer Builds wurden durchgeführt, um sicherzustellen, dass die Binärdatei aus den bereitgestellten Quellen erstellt wurde. Beispielsweise hängt das Build-Ergebnis nun nicht von den Standort- und Verzeichnis-Einstellungen ab, in denen das Build durchgeführt wurde.
• Schutz vor dem Offenlegen sensibler Daten im /proc, die beim Aufruf von Samba-Dienstprogrammen angegeben werden, hinzugefügt, damit diese Daten nicht in der Ausgabe von ps oder top sichtbar sind.

Quelle: opennet.ru