A Samba 4.21.0 kiadása hat hónapos fejlesztés után jelent meg, folytatva a Samba 4 ágazat fejlesztését, teljes körű domain vezérlő és az Active Directory szolgáltatás megvalósításával, amely kompatibilis a Windows 2008 megoldással, és képes kiszolgálni minden támogatott Microsoft Windows-kliens verziót, beleértve a Windows 11-et is. A Samba 4 egy multifunkcionális szervertermék, amely fájlszerver, nyomtatószolgáltatás és azonosító szerver (winbind) megvalósítását is biztosítja.
A Samba 4.20 kulcsfontosságú változásai:
- A 'valid users', 'invalid users', 'read list' és 'write list' kezelésének biztonsága megerősítésre került. Ha az adatátvitel hibája miatt nem sikerült SID-t meghatározni a felhasználó vagy csoport neve alapján, a problémás bejegyzés a listákban nem kerül figyelmen kívül hagyásra, hanem hiba megjelenését eredményezi. A nem létező felhasználók és csoportok figyelmen kívül maradnak.
- A szerveren Az LDAP-ban megvalósult az autentikáció támogatása SASL-on keresztül Kerberos vagy NTLMSSP segítségével, TLS (ldaps vagy starttls) feletti kapcsolaton keresztül. Az 'ldap server require strong auth' beállítás alapértelmezett értéke most már a SASL TLS feletti használatát jelenti, ami megfelel az NTDS beállításaiban az LdapEnforceChannelBinding megadásának a Windows platformon.
- A Samba AD DC-ben használt LDB adatbázis megvalósítása mostantól nyilvános könyvtár formájában épül fel, anélkül hogy külön tar-archívumot készítenének. Eltávolították a Python LDB Modules API-hoz való kötődést, amely már évek óta nem működött. Az Unicode feldolgozás az LDB-ben módosítva lett.
- Néhány nyilvános Samba könyvtár (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server és samdb) alapértelmezés szerint belső (private) kategóriába került.
- Lehetőséget biztosítanak ldaps használatára a 'winbindd' és 'net ads' esetében. Az 'client ldap sasl wrapping' beállításhoz hozzáadták a 'starttls' érték támogatását, a STARTTLS használatához a 389-es tcp porton és az 'ldaps' értéket a TLS használatához a 636-os tcp porton.
- Új 'dns hostname' opció került bevezetésre az ügyfél DNS nevének beállításához (alapértelmezett: '[netbios name].[realm]').
- A Samba AD-ban megvalósult a lejárt jelszavak forgatása azoknál a fiókoknál, amelyek belépése okoskártyák használatával történik (a 'smart card require for logon' beállítás megadva), míg a jelszó tartalék megoldásként alkalmazható NTLM visszaállításánál vagy a helyi profil titkosításánál.
- Lehetővé vált a 'veto files' és 'hide files' beállítások definiálása egyes felhasználók és csoportok számára. Például: 'hide files : USERNAME = /somefile.txt/'.
- Automatikus kulcsfrissítés biztosított a gép hitelesítési jelszavának megváltoztatásakor a domainben (gép jelszó).
- Új VFS-modul került hozzáadásra a Ceph fájlrendszerhez, amely az alacsony szintű libcephfs API-t használja, és lehetővé teszi a meglévő cephfs modulhoz képest a magasabb teljesítmény elérését. Az új modul beállításához a smb.conf fájlban ‘ceph_new’ nevet kell használni a ‘ceph’ helyett.
- Megérkezett a gMSA (Group Managed Service Account) kezelésének támogatása, amely megfelel az Active Directory domain szolgáltatások 2012-es funkcionális szintjének (Functional Level 2012). A samba-tool programhoz parancsok lettek hozzáadva a gMSA gyökérkulcsokkal (KDS) való munkához, mint például a „samba-tool domain kds root_key create” és a „samba-tool domain kds root_key list”.
- Megvalósult az Active Directory domain szolgáltatások 2012R2-es funkcionális szintjének (Functional Level 2012R2) támogatása.
- Dolgoztunk a megismételhető összeállítások biztosításán, amelyek lehetővé teszik, hogy ellenőrizzük, hogy a bináris fájl a megadott forráskódból készült. Például az összeállítási eredmény már nem függ a helyi beállításoktól és attól a könyvtártól, ahol a fordítást végezték.
- Hozzáadva a biztonság a /proc-ban található érzékeny adatok tükrözésének megakadályozására, amelyeket a Samba segédprogramok hívásakor adnak meg, hogy ezek az adatok ne látszódjanak a ps vagy top kimenetében.
Forrás: opennet.ru
