Tras seis meses de desarrollo, se lanzó Samba 4.21.0, dando continuidad al desarrollo de la rama Samba 4 con una implementación completa de un controlador de dominio y un servicio de Active Directory compatible con dicha implementación. Windows 2008 y capaz de manejar todas las versiones compatibles con Microsoft. Windows-clientes, incluyendo Windows 11. Samba 4 es un producto de servidor multifuncional que también proporciona un servidor de archivos, un servicio de impresión y un servidor de autenticación (winbind).
Cambios clave en Samba 4.20:
- Seguridad mejorada para procesar las listas “usuarios válidos”, “usuarios no válidos”, “lista de lectura” y “lista de escritura”. Si debido a un error en la transferencia de datos no fue posible determinar el SID por nombre de usuario o grupo, la entrada problemática en las listas no se ignora, sino que genera un error. Se ignoran los usuarios y grupos inexistentes.
- В servidor LDAP реализована возможность аутентификации при помощи SASL через Kerberos или NTLMSSP с пробросом соединений поверх TLS (ldaps или starttls). Значение по умолчанию настройки ‘ldap server require strong auth’ теперь подразумевает использование SASL поверх TLS, что эквивалентно выставлению LdapEnforceChannelBinding в параметрах NTDS на платформе Windows.
- La implementación LDB utilizada en Samba AD DC ahora se compila en forma de biblioteca pública sin crear un archivo tar separado. Se eliminó el enlace API de módulos LDB para Python, que ha estado inutilizable durante varios años. Se modificó el manejo de Unicode en LDB.
- Algunas bibliotecas públicas de Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server y samdb) se hacen privadas de forma predeterminada.
- Se proporcionó la posibilidad de utilizar ldaps de 'winbindd' y 'net ads'. Se agregó soporte para los valores 'starttls' para usar STARTTLS en el puerto tcp 389 y 'ldaps' para usar TLS en el puerto tcp 636 en la configuración de 'envoltura sasl ldap del cliente'.
- Se agregó una nueva opción "nombre de host dns" para configurar el nombre del cliente en DNS (predeterminado "[nombre de netbios]. [reino]").
- Samba AD implementa la rotación de contraseñas caducadas para cuentas que usan tarjetas inteligentes para iniciar sesión (se especifica la configuración "requiere tarjeta inteligente para iniciar sesión"), y la contraseña se usa como alternativa al revertir a NTLM o para cifrar un perfil local.
- Se permite definir las configuraciones de "vetar archivos" y "ocultar archivos" en relación con usuarios y grupos individuales. Por ejemplo, "ocultar archivos: NOMBRE DE USUARIO = /algúnarchivo.txt/".
- Se habilitó la actualización automática de la tabla de claves después de cambiar la contraseña utilizada para autenticar una computadora en un dominio (contraseña de la máquina).
- Se agregó un nuevo módulo VFS para el sistema de archivos Ceph, que utiliza la API libcephfs de bajo nivel y permite un mayor rendimiento en comparación con el módulo cephfs existente. Para configurar un nuevo módulo en smb.conf, use el nombre 'ceph_new' en lugar de 'ceph'.
- Se agregó soporte para cuentas administradas gMSA (Cuenta de servicio administrada de grupo), correspondiente al nivel funcional de Active Directory Domain Services 2012 (Nivel funcional 2012). Se agregaron comandos a la utilidad samba-tool para trabajar con claves raíz gMSA (KDS), como “samba-tool domain kds root_key create” y “samba-tool domain kds root_key list”.
- Se ha implementado soporte para el nivel funcional de Active Directory Domain Services 2012R2 (Nivel funcional 2012R2).
- Se ha trabajado para proporcionar compilaciones repetibles para garantizar que el binario se genere a partir del código fuente proporcionado. Por ejemplo, el resultado de la compilación ahora no depende de la configuración regional ni del directorio en el que se llevó a cabo la compilación.
- Se agregó protección contra el reflejo en /proc de datos confidenciales especificados al llamar a las utilidades de Samba, de modo que estos datos no sean visibles en la salida de ps o top.
Fuente: opennet.ru
