Nakon 6 mjeseci razvoja objavljen je Samba 4.20.0, koji nastavlja razvoj Samba 4 s potpunom implementacijom kontrolera domene i usluga Active Directory, kompatibilnog s Windows 2008 i sposobljenog za podršku svim verzijama Windows klijenata koje Microsoft podržava, uključujući Windows 11. Samba 4 je višenamjenski serverski proizvod, koji također nudi implementaciju datotečnog servera, usluge ispisa i servera identifikacije (winbind).
Ključne promjene u Samba 4.20:
- Zadano je uključena nova alatka "wspsearch" koja ima implementaciju eksperimentalnog klijenta za protokol WSP (Windows Search Protocol). Alatka omogućuje slanje pretraživačkih zahtjeva na Windows server koji pokreće WSP servis.
- U timu "smbcacls" implementirana je podrška za zapisivanje popisa pristupnih prava DACL u datoteku i obnavljanje DACL iz datoteke. Podaci se pohranjuju u formatu podržanom od Windows alatke 'icacls.exe', što osigurava prenosivost datoteka s pohranjenim DACL-om (Discretionary Access Control List).
- Alatka "samba-tool" je proširena s centraliziranim politikama pristupa Active Directory (Claims), politikama autentifikacije (Authentication Policies) i kontejnerima politika (Authentication Silos). Sada se može koristiti za povezivanje korisnika s tvrdnjama (claims) za daljnju upotrebu u pravilima koja definiraju mogućnost pristupa u okviru politika autentifikacije.
Osim toga, alatka samba-tool sada može služiti za kreiranje politika autentifikacije i upravljanje njima, kao i za kreiranje i upravljanje kontejnerima politika. Na primjer, pomoću samba-tool-a može se odrediti odakle i kamo se korisnik može povezati, ako je dopuštena upotreba NTLM, i u kojim se servisima korisnik može autentificirati.
- U implementaciji kontrolera na bazi Sambe domenu Active Directory dodana je podrška za politike autentifikacije (Authentication Policies) i kontejnere politika (Authentication Silos) koji su kreirani putem alatke samba-tool ili uvezeni iz konfiguracija Microsoft AD. Ova mogućnost dostupna je samo na sustavima s funkcionalnom razinom Active Directory barem 2012_R2 ("ad dc functional level = 2016" u smb.conf).
- U utilitiju samba-tool dodana je klijentska podrška za upravljane korisničke račune gMSA (Group Managed Service Account), koji koriste automatski ažurirane lozinke. Komande za upravljanje lozinkom dostupne u samba-tool, koje su se ranije mogle koristiti samo s lokalnom bazom podataka sam.ldb, sada se mogu primijeniti i na vanjsku poslužitelju autentificiranu pristupu, koristeći opciju "-H ldap://$DCNAME". Među podržanim operacijama su: "samba-tool user getpassword" za čitanje trenutne i prethodne lozinke gMSA; "samba-tool user get-kerberos-ticket" za zapisivanje Kerberos TGT (Ticket Granting Ticket) u lokalni keš korisničkih računa.
- Dodana je podrška za uvjetne zapise kontrole pristupa (Conditional ACE), što omogućava odobravanje ili blokiranje pristupa na temelju dodatnih uvjeta — ako uvjetni izraz nije uspio, ACE se ignorira, a inače se primjenjuje kao običan ACE. Uvjetne provjere također se mogu primijeniti na atribute zaštićenog objekta, opisane atributima sistemskih resursa (Resource Attribute ACE).
- U implementaciju klastera ctdb dodana je mogućnost pružanja servisa MS-SWN (Service Witness Protocol), putem kojeg klijenti mogu pratiti svoje SMB veze s čvorovima klastera. Na primjer, klijent povezan s čvorom "A" može zatražiti od čvora "B" da pošalje obavijest ako čvor "A" postane nedostupan. Za upravljanje servisom predložena je serija komandi "net witness [list|client-move|share-move|force-unregister|force-response]", koje omogućuju administratoru klastera da pregleda registrirane klijente i zatraži premještanje veze na druge čvorove klastera.
- Za konfiguracije s MIT Kerberos5, koje rade u ulozi kontrolera domena Active Directory, sada je potrebna najmanje verzija MIT Krb5 1.21, u kojoj je dodana dodatna zaštita od ranjivosti CVE-2022-37967.
- Prilikom izgradnje s uvezenim Heimdal Kerberos više nije potrebno instalirati Perl modul JSON, umjesto kojeg se koristi ugrađeni Perl5 modul JSON::PP.
- U komandom "samba-tool user getpassword" i "samba-tool user syncpasswords", koje se koriste za određivanje i sinkronizaciju lozinke, promijenjen je ishod prilikom korištenja parametra ";rounds=" s atributima virtualCryptSHA256 i virtualCryptSHA512 (na primjer, ‘—attributes="virtualCryptSHA256;rounds=50000"‘). Bilo je: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF. Postalo: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- U implementaciji MS-WKST (Remote Protocol usluge radne stanice) ukinuta je podrška za ispis popisa povezanih korisnika na temelju sadržaja datoteke /var/run/utmp, koja sadrži podatke o korisnicima koji trenutno rade u sustavu. Podrška za utmp ukinuta je zbog izloženosti ovog formata problemu iz 2038. godine.
Izvor: opennet.ru
