Dopo 6 mesi di sviluppo è stato presentato il rilascio di Samba 4.21.0, che continua lo sviluppo della serie Samba 4 con una completa implementazione del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows 2008 e in grado di gestire tutte le versioni client di Windows supportate da Microsoft, inclusa Windows 11. Samba 4 è un prodotto server multifunzionale che fornisce anche l'implementazione di un server di file, un servizio di stampa e un server di identificazione (winbind).
Modifiche chiave in Samba 4.20:
- Rafforzata la sicurezza nella gestione delle liste 'valid users', 'invalid users', 'read list' e 'write list'. Se a causa di un errore di trasmissione dei dati non è stato possibile determinare il SID dal nome utente o dal gruppo, la voce problematica nelle liste non viene ignorata, ma porta alla visualizzazione di un errore. Gli utenti e i gruppi non esistenti vengono ignorati.
- In server LDAP implementa la possibilità di autenticazione tramite SASL attraverso Kerberos o NTLMSSP con tunnel delle connessioni sopra TLS (ldaps o starttls). Il valore predefinito della configurazione 'ldap server require strong auth' ora implica l'uso di SASL su TLS, equivalente all'impostazione di LdapEnforceChannelBinding nei parametri NTDS sulla piattaforma Windows.
- L'implementazione della libreria LDB, utilizzata in Samba AD DC, è ora disponibile come libreria pubblica senza la creazione di un archivio tar separato. È stata rimossa l'interfaccia con LDB Modules API per Python, che non funzionava da diversi anni. È stata modificata la gestione di Unicode in LDB.
- Alcune librerie pubbliche di Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server e samdb) sono state convertite di default in interne (private).
- È stata fornita la possibilità di utilizzare ldaps da ‘winbindd’ e ‘net ads’. Nella configurazione ‘client ldap sasl wrapping’ è stato aggiunto il supporto per i valori ‘starttls’ per utilizzare STARTTLS sulla porta tcp 389 e ‘ldaps’ per utilizzare TLS sulla porta tcp 636.
- È stata aggiunta una nuova opzione «dns hostname» per impostare il nome del client in DNS (di default «[netbios name].[realm]»).
- In Samba AD è stata implementata la rotazione delle password scadute per gli account che utilizzano smart card per l'accesso (è stata specificata la configurazione «smart card require for logon»), e la password è utilizzata come opzione di riserva quando si torna a NTLM o per la crittografia del profilo locale.
- È consentita la definizione delle impostazioni «veto files» e «hide files» associate a singoli utenti e gruppi. Ad esempio, «hide files : USERNAME = /somefile.txt/».
- È stato implementato l'aggiornamento automatico della keytab dopo la modifica della password utilizzata per l'autenticazione del computer nel dominio (machine password).
- Aggiunto un nuovo modulo VFS per il file system Ceph, che utilizza l'API a basso livello libcephfs e consente di ottenere prestazioni superiori rispetto al modulo cephfs esistente. Per configurare il nuovo modulo in smb.conf, utilizzare il nome 'ceph_new' invece di 'ceph'.
- Aggiunto il supporto per gli account gestiti gMSA (Group Managed Service Account), corrispondente al livello funzionale dei servizi di dominio Active Directory 2012 (Functional Level 2012). Sono stati aggiunti comandi all'utilità samba-tool per lavorare con le chiavi radice gMSA (KDS), come 'samba-tool domain kds root_key create' e 'samba-tool domain kds root_key list'.
- Implementato il supporto per il livello funzionale dei servizi di dominio Active Directory 2012R2 (Functional Level 2012R2).
- Effettuato il lavoro per garantire build ripetibili, che garantiscono che il file binario sia costruito a partire dai sorgenti forniti. Ad esempio, il risultato della build ora non dipende dalle impostazioni locali e dalla directory in cui è stata eseguita la build.
- Aggiunta la protezione da riflesso in /proc per i dati riservati visualizzati durante le chiamate agli strumenti Samba, affinché tali dati non siano visibili nell'output di ps o top.
Fonte: opennet.ru
