Väljaanne Samba 4.20.0

Pärast 6 kuu arendust on välja antud Samba 4.20.0, mis jätkab Samba 4 haru arengut, pakkudes täiuslikku domeeni tõukeratta ja Active Directory teenuse rakendust, mis on ühilduv Windows 2008 rakendusega ning suudab teenindada kõiki toetatud Microsofti Windowsi kliendi versioone, sealhulgas Windows 11. Samba 4 on mitmeotstarbeline serveritooted, mis pakub ka failiserveri, printimisteenuse ja tuvastamisteenuse (winbind) rakendust.

Peamised muudatused Samba 4.20-s:

• Vaikimisi sisaldab uus utiliit „wspsearch“ eksperimentaalset klientrakendust WSP (Windows Search Protocol) protokollile. Utiliit võimaldab saata otsingupäringuid Windows-serverile, kus WSP teenus on käivitatud.
• Meeskonnas „smbcacls“ on rakendatud toetus DACL-i (Distsipliini Juurdepääsu Kontrolli Loend) salvestamiseks faili ja DACL-i taastamiseks failist. Andmed salvestatakse formaadis, mida tohib Windowsi utiliidiga ‘icacls.exe’, tagades DACL-iga salvestatud failide üleviimise.
• Utiliidile „samba-tool“ on lisatud laiendusi keskselt hallatavate Active Directory (Claims) juurdepääsupoliitikate, autentimise poliitikate (Authentication Policies) ja poliitika konteinerite (Authentication Silos) jaoks. Samba-tool'i saab nüüd kasutada kasutaja sidumiseks väidetega (claims), mida saab hiljem kasutada reeglites, mis määravad juurdepääsuvõimaluse autentimise poliitikas.

  Lisaks on samba-tool'i utiliiti nüüd võimalik kasutada autentimis- ja poliitikate loomise ja haldamise ning poliitika konteinerite loomise ja haldamise jaoks. Näiteks sambatihalduse abil on võimalik määrata, kust ja kuhu kasutaja võib ühenduda, kui NTLM kasutamine on lubatud, ja millistes teenustes kasutajat saab autentida.
• Samba alusel rakendatud kontroller domeen Active Directory's on lisatud tugi autentimise poliitikatele (Authentication Policies) ja poliitika konteineritele (Authentication Silos), mis on loodud samba-tool'i abil või imporditud Microsofti AD konfiguratsioonidest. See võimalus on saadaval ainult süsteemides, mille Active Directory funktsionaalne tase on vähemalt 2012_R2 („ad dc functional level = 2016“ smb.conf-is).
• Samba-tool utiliidile on lisatud kliendipoolne tugi hallatud teenusekonto gMSA (Group Managed Service Account) jaoks, kus kasutatakse automaatselt uuendatavaid paroole. Samba-toolis pakutavad paroolihalduskomandid, mida varem sai kasutada ainult kohaliku andmebaasi sam.ldb puhul, on nüüd rakendatavad ka välistele serveri autentimisega juurdepääsul, kasutades valikut "-H ldap://$DCNAME. Toetatud toimingute hulka kuuluvad: "samba-tool user getpassword" gMSA praeguse ja varasema parooli lugemiseks; "samba-tool user get-kerberos-ticket" Kerberose TGT (Ticket Granting Ticket) kirjutamiseks kohalikku konto vahemälu.
• On lisatud tingimuslike juurdepääsukontrolli kirje (Conditional ACE) tugi, mis võimaldab juurdepääsu lubada või blokeerida sõltuvalt täiendavatest tingimustest — kui tingimuslik avaldis ei kehti, jäetakse ACE tähelepanuta, vastasel juhul rakendatakse see nagu tavaline ACE. Tingimuslikud kontrollid võivad samuti kehtida kaitstud objekti atribuutidele, mida kirjeldavad süsteemiressursside atribuudid (Resource Attribute ACE).
• CTDB klastri rakendusele on lisatud MS-SWN (Service Witness Protocol) teenuse pakkumise võimalus, mille kaudu kliendid saavad jälgida oma SMB-ühendusi klastri sõlmedega. Näiteks võib sõlmega "A" ühendatud klient paluda sõlmelt "B" saata teate, kui sõlm "A" osutub kättesaamatuks. Teenuse haldamiseks on ette nähtud rida käske "net witness [list|client-move|share-move|force-unregister|force-response]", mis võimaldavad klastri administraatoril vaadata registreeritud kliente ja küsida ühenduse üleviimist teistesse klastri sõlmedesse.
• MIT Kerberos5 konfiguratsioonide puhul, mis toimivad Active Directory domeeni kontrollerina, on nüüd nõutud vähemalt versioon MIT Krb5 1.21, milles on lisandunud kaitse haavatavuse CVE-2022-37967 vastu.
• Heimdal Kerberosega imporditud kokkupaneku puhul ei ole enam vajalik Perl mooduli JSON paigaldamine, selle asemel kasutatakse Perl5 sisseehitatud moodulit JSON::PP.
• Käskudes "samba-tool user getpassword" ja "samba-tool user syncpasswords", mida kasutatakse parooli määramiseks ja sünkroonimiseks, on väljaandeid muudetud parameetri ";rounds=" kasutamisel atribuutide virtualCryptSHA256 ja virtualCryptSHA512 puhul (näiteks '—attributes="virtualCryptSHA256;rounds=50000"'). Varem: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Nüüd: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
• MS-WKST (Workstation Service Remote Protocol) rakenduses on lõpetatud toetamine kasutajate ühenduste loendi kuvamisel, mis põhineb faili /var/run/utmp sisule, mis sisaldab andmeid kasutajate kohta, kes on hetkel süsteemis aktiivsed. Utmp toetamine lõpetati, kuna see formaat on 2038. aasta probleemi suhtes haavatav.

Allikas: opennet.ru