Samba 4.20.0 väljaanne

Pärast 6 kuu arendust on välja antud Samba 4.20.0, mis jätkab Samba 4 haru arengut ning pakub täielikku domeenikontrolleri ja Active Directory teenuse teostust, mis on ühilduv Windows 2008 rakendusega ja suudab teenindada kõiki toetatud Microsofti Windows kliendiversioone, sealhulgas Windows 11. Samba 4 on mitmeotstarbeline serveritootega, mis pakub ka failiserveri, printimisteenuse ja identifitseerimise serveri (winbind) teostust.

Samba 4.20 peamised muudatused:

• Vaikimisi on aktiveeritud uue utiliidi „wspsearch“ versioon, mis sisaldab eksperimentaalset klienti WSP-protokollile (Windows Search Protocol). Utiliit võimaldab saata otsingupäringuid Windows-serverisse, kus on käivitatud WSP teenus.
• Käsklus „smbcacls“ toetab nüüd juurdepääsu juhtimisloendite (DACL) kirjutamist faili ja DACL taastamist failist. Andmed salvestatakse vormingus, mida toetab Windowsi utiliit 'icacls.exe', tagades DACL (Discretionary Access Control List) salvestatud failide ühilduvuse.
• Samba-tool utiliidi on lisatud laiendused Active Directory kesksete juurdepääsupoliitikate (Claims), autentimis- (Authentication Policies) ja poliitikakonteinerite (Authentication Silos) jaoks. Samba-tool'i saab nüüd kasutada kasutaja sidumiseks väidete (claims) kaudu, et neid saaks kasutada autentimisreeglites juurdepääsu määramiseks.

  Lisaks saab samba-tool'i nüüd kasutada autentimisreeglite loomiseks ja haldamiseks, samuti poliitikakonteinerite loomiseks ja haldamiseks. Näiteks saab samba-tool'i abil määrata, kust ja kuhu kasutaja saab ühendust luua, kui NTLM kasutamine on lubatud, ning millistes teenustes kasutajat saab autentida.
• Samba-põhise kontrollere alusel domeeni Active Directory-sse on lisatud autentimisreeglite (Authentication Policies) ja poliitikakonteinerite (Authentication Silos) tugi, mis on loodud samba-tool'i abil või imporditud Microsoft AD konfiguratsioonidest. See funktsionaalsus on saadaval ainult süsteemides, mille Active Directory funktsionaalne tase on vähemalt 2012_R2 ("ad dc functional level = 2016" smb.conf-is).
• Samba-tool utiliid lisati kliendi poolne tugi hallatavatele gMSA (Grupi Hallatavad Teenuse Kontod) kontodele, kus kasutatakse automaatselt uuendatud paroole. Enne ainult kohaliku andmebaasi sam.ldb jaoks kasutatavad samba-tool paroolihaldus käsud on nüüd rakendatavad juga välistele paroolidele, kui on autentitud juurdepääs, kasutades valikut „-H ldap://$DCNAME”. serverile Toetatakse järgmisi toiminguid: „samba-tool user getpassword”, et lugeda praegust ja varasemat gMSA parooli; „samba-tool user get-kerberos-ticket”, et kirjutada Kerberos TGT (Piletite Andmine Pilet) kohalikku kontode vahemällu.
• Lisatud on tingimuslike juurdepääsukontrolli kirje (Conditional ACE) tugi, mis võimaldab lubada või keelata juurdepääsu vastavalt täiendavatele tingimustele – kui tingimuslik väljend ei kehti, ignoreeritakse ACE-d, vastasel juhul rakendatakse seda nagu tavalist ACE-d. Tingimuslikud kontrollid võivad samuti kehtida kaitstud objekti attribuutide kohta, mida kirjeldatakse süsteemiressurssidena (Resource Attribute ACE).
• CTDB klastri rakendusse on lisatud MS-SWN (Service Witness Protocol) teenuse pakkumise võimalus, mille abil saavad kliendid jälgida oma SMB-ühendusi klastri sõlmedega. Näiteks klient, kes on seotud sõlmega „A”, saab nõuda, et sõlm „B” saadaks teate, kui sõlm „A” muutub kättesaamatuks. Teenuse haldamiseks on ette nähtud rida käske „net witness [list|client-move|share-move|force-unregister|force-response]”, mis võimaldavad klastri administraatoril vaadata registreeritud kliente ja paluda ühenduse üleminekut teistele klastri sõlmedele.
• Active Directory domeenikontrollerina töötavate MIT Kerberos5 konfiguratsioonide jaoks on nüüd nõutav vähemalt MIT Krb5 versioon 1.21, kus on lisatud täiendav kaitse haavatavuse CVE-2022-37967 vastu.
• Heimdal Kerberosiga koostamisel ei ole enam vajalik Perl mooduli JSON installimine, selle asemel kasutatakse Perl5 sisseehitatud moodulit JSON::PP.
• Käskudes «samba-tool user getpassword» ja «samba-tool user syncpasswords», mida kasutatakse paroolide määramiseks ja sünkroniseerimiseks, on parameetri «;rounds=» väljund, kui kasutada atribuutide virtualCryptSHA256 ja virtualCryptSHA512, muutunud (näiteks ‘—attributes=»virtualCryptSHA256;rounds=50000″‘). Eelnevalt: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF. Nüüd: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
• MS-WKST (Workstation Service Remote Protocol) rakenduses on lõpetatud toetuse andmine ühendatud kasutajate nimekirja genereerimiseks, lähtudes failist /var/run/utmp, mis sisaldab andmeid süsteemis hetkel töötavatest kasutajatest. Utmp toetamine lõpetati formaadi 2038 aasta probleemide tõttu.

Allikas: opennet.ru