Samba 4.20.0 izlaišana

Pēc sešu mēnešu izstrādes ir izlaists Samba 4.20.0, kas turpina Samba 4 filiāles attīstību ar pilnīgu domēna kontroliera un Active Directory pakalpojuma īstenošanu, kas ir saderīga ar Windows 2008 īstenojumu un spēj apkalpot visus atbalstītos Microsoft Windows klientu variantus, tostarp Windows 11. Samba 4 ir multifunkcionāls servera produkts, kas piedāvā arī failu servera, drukāšanas pakalpojuma un identifikācijas servera (winbind) īstenojumu.

Galvenās izmaiņas Samba 4.20:

• Pēc noklusējuma ir iekļauta jauna utilīta „wspsearch”, kas īsteno eksperimentālo klientu WSP protokolam (Windows Search Protocol). Utilīta ļauj sūtīt meklēšanas pieprasījumus uz Windows serveri, uz kura darbojas WSP pakalpojums.
• Komandā „smbcacls” ir ieviesta atbalsta funkcija DACL (Access Control List) ierakstīšanai failā un DACL atjaunošanai no faila. Dati tiek saglabāti formātā, ko atbalsta Windows utilīta 'icacls.exe', kas nodrošina failu pārnesamību ar saglabātām DACL.
• Utilītē „samba-tool” ir pievienoti paplašinājumi centralizētajām Active Directory piekļuves politikām (Claims), autentifikācijas politikām (Authentication Policies) un politiku konteineriem (Authentication Silos). Tagad ir iespējams izmantot samba-tool, lai sasaistītu lietotāju ar apgalvojumiem (claims) turpmākai izmantošanai autentifikācijas politiku pieejamības nosacījumos.

  Turklāt utilīta samba-tool tagad var tikt izmantota, lai izveidotu autentifikācijas politikas un pārvaldītu tās, kā arī izveidot un pārvaldīt politiku konteinerus. Piemēram, izmantojot samba-tool, var noteikt, no kurienes un kur var piekļūt lietotājs, ja NTLM izmantošana ir atļauta un kādos pakalpojumos lietotājs var tikt autentificēts.
• Samba bāzē īstenotajā kontrolierī domēns Active Directory ir pievienots atbalsts autentifikācijas politikām (Authentication Policies) un politiku konteineriem (Authentication Silos), kas izveidoti, izmantojot utilītu samba-tool vai importēti no Microsoft AD konfigurācijām. Šī iespēja ir pieejama tikai sistēmām ar Active Directory funkcionalitātes līmeni vismaz 2012_R2 („ad dc functional level = 2016” smb.conf).
• Uz utilītu samba-tool ir pievienota klienta pusē darbojoša atbalsta funkcionalitāte pārvaldītajām kontu kontām gMSA (Group Managed Service Account), kurās tiek izmantoti automātiski atjaunināmi paroli. Komandas, kas pieejamas samba-tool par paroles pārvaldību, kuras iepriekš varēja izmantot tikai ar lokālo datu bāzi sam.ldb, tagad var pielietot arī ārējiem serverim piekļuvei, izmantojot opciju "-H ldap://$DCNAME". Atbalstītās operācijas ietver: "samba-tool user getpassword" pašreizējā un iepriekšējā gMSA paroles nolasīšanai; "samba-tool user get-kerberos-ticket" Kerberos TGT (Ticket Granting Ticket) ierakstīšanai vietējā kontu kešā.
• Ir pievienota atbalsta funkcionalitāte nosacītām piekļuves kontroļu ierakstiem (Conditional ACE), kas ļauj piekļuvi atļaut vai bloķēt atkarībā no papildu nosacījumiem — ja nosacījuma izteikums nav izpildījies, ACE tiek ignorēta, citādi tā tiek pielietota kā parasta ACE. Nosacījumu pārbaudes var arī piemērot aizsargātā objekta atribūtiem, kas tiek aprakstīti sistēmas resursu atribūtiem (Resource Attribute ACE).
• Ctdb klastera realizācijā ir pievienota MS-SWN (Service Witness Protocol) pakalpojuma nodrošināšanas funkcionalitāte, ar kuru klienti var sekot līdzi savām SMB savienojumiem ar klastera mezgliem. Piemēram, klients, kas ir pieslēgts mezglam "A", var pieprasīt mezglam "B" nosūtīt paziņojumu, ja mezgls "A" kļūst nepieejams. Pakalpojuma pārvaldībai tiek piedāvāta virkne komandu "net witness [list|client-move|share-move|force-unregister|force-response]", kas ļauj klastera administratoram apskatīt reģistrētos klientus un pieprasīt savienojuma pārvietošanu uz citiem klastera mezgliem.
• MIT Kerberos5 konfigurācijās, kas darbojas kā Active Directory domēna kontrolieris, tagad ir nepieciešama vismaz MIT Krb5 1.21 versija, kurā ir ieviesta papildu aizsardzība pret CVE-2022-37967 ievainojamību.
• Veidojot ar importēto Heimdal Kerberos, vairs nav nepieciešams instalēt Perl moduli JSON, tā vietā tiek izmantots iebūvēts Perl5 modulis JSON::PP.
• Izmantojot komandās "samba-tool user getpassword" un "samba-tool user syncpasswords", kas tiek izmantotas paroli noteikšanai un sinhronizēšanai, ir mainīts izpildes iznākums, ja tiek izmantota opcija ";rounds=" ar atribūtiem virtualCryptSHA256 un virtualCryptSHA512 (piemēram, ‘—attributes="virtualCryptSHA256;rounds=50000"‘). Bija: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Tagad: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
• MS-WKST (Workstation Service Remote Protocol) realizācijā ir pārtraukta atbalsta sniegšana savienoto lietotāju saraksta izvadīšanai, pamatojoties uz faila /var/run/utmp saturu, kurā ir dati par lietotājiem, kas pašlaik strādā sistēmā. Atbalsts utmp ir pārtraukts, jo šis formāts ir pakļauts 2038. gada problēmai.

Avots: opennet.lv