Nakon 6 mjeseci razvoja, predstavljen je izdanak Samba 4.21.0, koji nastavlja razvoj Samba 4 grane s punom implementacijom kontrolera domene i Active Directory usluge, kompatibilne s Windows 2008 implementacijom i sposobne za podršku svim verzijama Windows klijenata koje Microsoft podržava, uključujući Windows 11. Samba 4 je višenamjenski serverski proizvod koji također nudi implementaciju datotečnog servera, usluge ispisa i servera identiteta (winbind).
Ključne promjene u Samba 4.20:
- Povećana sigurnost obrade popisa 'valid users', 'invalid users', 'read list' i 'write list'. Ako zbog greške u prijenosu podataka nije moguće odrediti SID prema korisničkom imenu ili grupi, problematičan unos u popisima se ne ignorira, već dovodi do prikazivanja greške. Nepostojeći korisnici i grupe se ignoriraju.
- U serveru LDAP je implementirao mogućnost autentifikacije putem SASL preko Kerberos ili NTLMSSP s prosljeđivanjem veza preko TLS (ldaps ili starttls). Zadana vrijednost postavke 'ldap server require strong auth' sada podrazumijeva korištenje SASL preko TLS, što je ekvivalentno postavljanju LdapEnforceChannelBinding u NTDS postavkama na Windows platformi.
- Implementacija LDB baze podataka, korištena u Samba AD DC, sada se sastavlja u obliku javne biblioteke bez stvaranja zasebnog tar-arhiva. Uklonjena je omotač s LDB Modules API za Python, koji već nekoliko godina ne radi. Promijenjena je obrada Unicode u LDB.
- Neke javne biblioteke Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server i samdb) su po defaultu prebačene u kategoriju unutarnjih (private).
- Omogućeno je korištenje ldaps iz 'winbindd' i 'net ads'. U postavku 'client ldap sasl wrapping' dodana je podrška za vrijednosti 'starttls' za korištenje STARTTLS na tcp portu 389 i 'ldaps' za korištenje TLS na tcp portu 636.
- Dodana je nova opcija 'dns hostname' za postavljanje imena klijenta u DNS (po defaultu '[netbios name].[realm]').
- U Samba AD implementirana je rotacija istekaoih lozinki za račune za koje se koristi pametne kartice (navedena je postavka 'smart card require for logon'), a lozinka se primjenjuje kao rezervna opcija prilikom povratka na NTLM ili za šifriranje lokalnog profila.
- Dopušteno je definiranje postavki 'veto files' i 'hide files' vezano uz pojedine korisnike i grupe. Na primjer, 'hide files : USERNAME = /somefile.txt/'.
- Osigurano automatsko ažuriranje keytab-a nakon promjene lozinke koja se koristi za autentifikaciju računala u domeni (machine password).
- Dodan je novi VFS modul za Ceph datotečni sustav, koji koristi niskonivojski API libcephfs i omogućuje postizanje veće izvedbe u usporedbi sa postojećim modulom cephfs. Za konfiguraciju novog modula u smb.conf treba koristiti naziv ‘ceph_new’ umjesto ‘ceph’.
- Dodana je podrška za upravljane račune gMSA (Group Managed Service Account), koja odgovara funkcionalnom nivou domena Active Directory 2012 (Functional Level 2012). U alat samba-tool dodane su naredbe za rad s korijenskim ključevima gMSA (KDS), poput ‘samba-tool domain kds root_key create’ i ‘samba-tool domain kds root_key list’.
- Implementirana je podrška za funkcionalni nivo domena Active Directory 2012R2 (Functional Level 2012R2).
- Obavljeno je rad na osiguranju ponovljivih gradnji koje omogućuju provjeru da je binarna datoteka sastavljena iz dostavljenih izvora. Primjerice, rezultat gradnje sada ne ovisi o postavkama lokaliteta i direktoriju u kojem se izgradnja odvijala.
- Dodana je zaštita od refleksije u /proc povjerljivih podataka navedenih prilikom poziva Samba alata, kako ti podaci ne bi bili vidljivi u izlazu ps ili top.
Izvor: opennet.ru
