Hat hónapnyi fejlesztés után megérkezett a Samba 4.20.0 kiadása, amely folytatja a Samba 4 ágat, teljes körűen megvalósítva a domain kontroller és az Active Directory szolgáltatást, kompatibilis a Windows 2008 megvalósítással, és képes kiszolgálni az összes támogatott Microsoft Windows kliens verziót, beleértve a Windows 11-et is. A Samba 4 egy sokoldalú szervertermék, amely fájlszerverként, nyomtató szolgáltatásként és azonosító szerverként (winbind) is funkcionál.
A Samba 4.20 kulcsfontosságú változásai:
- Alapértelmezés szerint aktiválva van az új „wspsearch” segédprogram, amely megvalósítja a WSP (Windows Search Protocol) protokoll kísérleti kliensét. Ez a segédprogram lehetővé teszi keresési lekérdezések küldését egy Windows szerverre, amelyen a WSP szolgáltatás fut.
- A „smbcacls” parancsban megvalósították a hozzáférés-vezérlési listák (DACL) fájlba való írásának és fájlból való visszaállításának támogatását. Az adatok a Windows „icacls.exe” segédprogram által támogatott formátumban kerülnek eltárolásra, ami biztosítja a DACL (Discretionary Access Control List) mentett fájlok hordozhatóságát.
- A „samba-tool” segédprogramhoz kiegészítések kerültek bevezetésre a központosított Active Directory hozzáférési politikához (Claims), hitelesítési politikához (Authentication Policies) és a politikai konténerekhez (Authentication Silos). A samba-tool most már felhasználható a felhasználók címszavakkal (claims) való összekapcsolására, amelyek később felhasználhatók az autentikációs politika keretében történő hozzáférés meghatározására.
Ezenkívül a samba-tool most használható hitelesítési politikák létrehozására és kezelésére, valamint politikai konténerek létrehozására és kezelésére. Például a samba-tool segítségével meg lehet határozni, hogy a felhasználó honnan és hova csatlakozhat, ha az NTLM használata engedélyezett, és mely szolgáltatásokban hitelesíthető a felhasználó.
- A Samba alapú kontrollere domain Active Directory megvalósításába beépítették a hitelesítési politikák (Authentication Policies) és politikai konténerek (Authentication Silos) támogatását, amelyeket a samba-tool segédprogram segítségével hoztak létre, vagy a Microsoft AD konfigurációkból importáltak. Ez a funkció csak azokon a rendszereken érhető el, ahol az Active Directory funkcionális szintje legalább 2012_R2 ('ad dc functional level = 2016' az smb.conf fájlban).
- A samba-tool szolgáltatásba beépítették a kliensoldali támogatást a kezelés alatt lévő gMSA (Csoportkezelésű Szolgáltatásfiók) fiókokhoz, amelyek automatikusan frissülő jelszavakat használnak. A samba-tool által biztosított jelszókezelő parancsok, amelyek korábban csak a helyi sam.ldb adatbázissal használhatók, most már alkalmazhatók külső forrásokra is. szerverhez hitelesített hozzáférés esetén, az "-H ldap://$DCNAME" opció használatával. Támogatott műveletek közé tartozik a "samba-tool user getpassword" a gMSA aktuális és korábbi jelszavának olvasására; a "samba-tool user get-kerberos-ticket" a Kerberos TGT (Ticket Granting Ticket) írására a helyi fiókkészletbe.
- Feltételes hozzáférési ellenőrzések (Conditional ACE) támogatása került bevezetésre, amelyek lehetővé teszik a hozzáférés engedélyezését vagy blokkolását további feltételek alapján; ha a feltételes kifejezés nem érvényes, az ACE figyelmen kívül marad, ellenkező esetben a szokásos ACE-ként alkalmazzák. A feltételes ellenőrzések az védett objektum attribútumaira is alkalmazhatók, amelyeket a rendszerműveletek attribútumaival (Resource Attribute ACE) írnak le.
- A ctdb klaszterre való megvalósításába beépítették az MS-SWN (Szolgáltatás- Tanú Protokoll) lehetőséget, amellyel az ügyfelek nyomon követhetik SMB-kapcsolataikat a klaszter csomópontjaival. Például egy "A" csomóponthoz csatlakozó kliens kérheti a "B" csomóponttól, hogy küldjön értesítést, ha az "A" csomópont elérhetetlenné válik. A szolgáltatás kezelésére javasolt egy sor "net witness [list|client-move|share-move|force-unregister|force-response]" parancsot, amelyek lehetővé teszik a klaszter adminisztrátora számára a regisztrált ügyfelek megtekintését és a kapcsolatok más csomópontokra való áthelyezését.
- Az MIT Kerberos5 konfigurációk, amelyek az Active Directory tartományvezérlőjeként működnek, mostantól legalább az MIT Krb5 1.21-es verzióját igénylik, amely további védelmet nyújt a CVE-2022-37967 sérülékenységgel szemben.
- Heimdal Kerberos-szal történő fordításkor már nem szükséges a Perl JSON modul telepítése, helyette a Perl5 beépített JSON::PP modulját használják.
- A "samba-tool user getpassword" és a "samba-tool user syncpasswords" parancsok, amelyeket a jelszó meghatározásához és szinkronizálásához használnak, módosították a kimenetet, amikor a ";rounds=" paramétert használják a virtualCryptSHA256 és virtualCryptSHA512 attribútumokkal (például ‘—attributes="virtualCryptSHA256;rounds=50000"‘). Előző: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF. Most: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF.
- A MS-WKST (Workstation Service Remote Protocol) megvalósításában megszűnt a csatlakozott felhasználók listájának megjelenítése a /var/run/utmp fájl tartalma alapján, amely tárolja a rendszerben jelenleg működő felhasználók adatait. Az utmp támogatása megszűnt, mivel ez a formátum ki van téve a 2038-as problémának.
Forrás: opennet.ru
