Väljaanne Samba 4.21.0

Pärast kuue kuu arendustööd on välja antud Samba 4.21.0, mis jätkab Samba 4 haru arendust, sealhulgas täieliku domeinikontrolleri ja Active Directory teenuse rakenduse, mis on ühilduv Windows 2008 rakenduse ning suudab teenindada kõiki Microsofti toetatud Windowsi kliendiversioone, sealhulgas Windows 11. Samba 4 on mitmeotstarbeline serveritootena, pakkudes samuti failiserveri, printimisteenuse ja identifitseerimisteenuse (winbind) rakendusi.

Samba 4.20 peamised muudatused:

• On suurendatud turvalisust „valid users“, „invalid users“, „read list“ ja „write list“ loendite töötlemisel. Kui andmeedastuse vea tõttu ei õnnestu kasutaja või grupi nime põhjal SID-i tuvastada, ei ignoreerita probleemselt kirjet loendites, vaid see viib vea väljastamiseni. Mitteeksisteerivad kasutajad ja grupid ignoreeritakse.
• V serveril LDAP-s on rakendatud autentimise võimalus SASLi kaudu Kerberose või NTLMSSP abil, edastades ühendusi TLS (ldaps või starttls) kaudu. Seade 'ldap server require strong auth' vaikimisi tähistab nüüd SASLi kasutamist TLS-i kohal, mis on ekvivalentne LdapEnforceChannelBinding seadmisega NTDS-i seadetes Windowsi platvormil.
• LDB andmebaasi teostus, mida kasutatakse Samba AD DC-s, kogutakse nüüd avaliku teegi kujul ilma eraldi tar-arhiivi loomata. Eemaldatud on Pythonile suunatud LDB Modules API-d, mis ei ole juba mitu aastat töötanud. Muudetud on Unicode'i töötlemist LDB-s.
• Mõned Samba avalikud teegid (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server ja samdb) on vaikimisi muudetud sisemisteks (private).
• On võimaldatud ldaps-i kasutamine ‘winbindd’ ja ‘net ads’ seest. ‘client ldap sasl wrapping’ seadistusele on lisatud toetus väärtustele ‘starttls’ STARTTLS kasutamiseks tcp-porti 389-l ja ‘ldaps’ TLS kasutamiseks tcp-porti 636-l.
• Lisatud on uus valik 'dns hostname' kliendi nime seadmiseks DNS-is (vaikimisi ‘[netbios name].[realm]’).
• Samba AD-s on rakendatud aegunud paroolide rotatsioon kontodele, mille sisenemiseks kasutatakse nutikaarte (seatud on 'smart card require for logon'), ning parool rakendatakse varuvõimalusena, kui tagastatakse NTLM-ile või kohaliku profiili krüpteerimiseks.
• Seadete ‘veto files’ ja ‘hide files’ määramine on lubatud seotud eraldi kasutajatele ja gruppidele. Näiteks ‘hide files : USERNAME = /somefile.txt/’.
• Automaatne keytab'i värskendamine on tagatud pärast masinaga autentimise parooli (machine password) vahetamist.
• Uus VFS-moodul Ceph FS-ile on lisatud, mis kasutab madalat API'd libcephfs ja võimaldab saavutada võrreldes olemasoleva cephfs mooduliga paremat jõudlust. Uue mooduli seadistamiseks tuleb smb.conf failis kasutada nime ‘ceph_new’ asemel ‘ceph’.
• Toetatakse haldusalaste gMSA (Group Managed Service Account) kasutajakontode, mis vastavad Active Directory domeeniteenuste funktsioonitasemele 2012 (Functional Level 2012). Samba-tool utiliidile on lisatud käsud gMSA (KDS) juurvõtmete haldamiseks, nagu «samba-tool domain kds root_key create» ja «samba-tool domain kds root_key list».
• On rakendatud Active Directory domeeniteenuste funktsioonitaseme 2012R2 (Functional Level 2012R2) toetamine.
• Toimub töö korduvate kogumite tagamiseks, mis võimaldavad veenduda, et binaarfail on kokku pandud antud allikakoodidest. Näiteks ei sõltu nüüd koostetulemus lokaadi seadistustest ja kataloogist, milles koostet tehti.
• Lisatud kaitse peegeldavate konfidentsiaalsete andmete vastu, mis näidatakse Samba utiliitide kutsumise ajal, et need andmed ei oleks nähtavad ps või top väljundis.

Allikas: opennet.ru