Na het ontwikkelen van 6 maanden is de release Samba 4.20.0 gepresenteerd, die de ontwikkeling van de Samba 4-tak voortzet met een volledige implementatie van een domeincontroller en een service voor Active Directory, compatibel met de implementatie van Windows 2008 en in staat om alle ondersteunde Microsoft-versies van Windows-clients te bedienen, inclusief Windows 11. Samba 4 is een multifunctioneel serverproduct dat ook een bestandserver, printservice en identificatieserver (winbind) biedt.
Belangrijkste wijzigingen in Samba 4.20:
- Standaard is de nieuwe tool ‘wspsearch’ ingeschakeld met de implementatie van een experimentele client voor het Windows Search Protocol (WSP). De tool stelt gebruikers in staat om zoekopdrachten te verzenden naar een Windows-server waarop de WSP-service draait.
- In de ‘smbcacls’-tool is ondersteuning toegevoegd voor het schrijven van toegangslijsten DACL naar een bestand en het herstellen van DACL uit een bestand. Gegevens worden opgeslagen in een formaat dat wordt ondersteund door de Windows-tool ‘icacls.exe’, wat de overdraagbaarheid van bestanden met opgeslagen DACL (Discretionary Access Control List) garandeert.
- In de ‘samba-tool’ zijn uitbreidingen toegevoegd voor gecentraliseerde Active Directory-toegangsbeleid (Claims), authenticatiebeleid (Authentication Policies) en beleidscontainers (Authentication Silos). Samba-tool kan nu worden gebruikt voor het koppelen van gebruikers aan claims voor later gebruik in regels die toegang binnen authenticatiebeleid bepalen.
Bovendien kan de ‘samba-tool’ nu worden gebruikt voor het creëren en beheren van authenticatiebeleid, evenals voor het creëren en beheren van beleidscontainers. Met behulp van samba-tool kan bijvoorbeeld worden bepaald waar en waarheen een gebruiker kan inloggen, als NTLM-gebruik is toegestaan, en bij welke services de gebruiker kan worden geverifieerd.
- In de Samba-gebaseerde controller domein Active Directory is ondersteuning toegevoegd voor authenticatiebeleid (Authentication Policies) en beleidscontainers (Authentication Silos), die zijn gemaakt via de samba-tool of geïmporteerd uit Microsoft AD-configuraties. Deze functionaliteit is alleen beschikbaar op systemen met een functioneel niveau van Active Directory van minimaal 2012_R2 (‘ad dc functional level = 2016’ in smb.conf).
- De samba-tool heeft werkende client-zijde ondersteuning toegevoegd voor beheerde accounts gMSA (Group Managed Service Account), waarin automatisch vernieuwbare wachtwoorden worden gebruikt. De commando's voor wachtwoordbeheer die eerder alleen met de lokale database sam.ldb konden worden gebruikt, zijn nu ook toepasbaar op externe server bij geauthenticeerde toegang met de optie "-H ldap://$DCNAME. Ondersteunde bewerkingen zijn onder andere: "samba-tool user getpassword" voor het lezen van het huidige en vorige gMSA-wachtwoord; "samba-tool user get-kerberos-ticket" om het Kerberos TGT (Ticket Granting Ticket) in de lokale accountcache te schrijven.
- Ondersteuning voor voorwaardelijke toegangscontrole-informatie (Conditional ACE) is toegevoegd, waarmee toegang kan worden verleend of geblokkeerd op basis van aanvullende voorwaarden — als de voorwaarde niet uitkomt, wordt de ACE genegeerd, anders wordt deze toegepast als een gewone ACE. Voorwaardelijke controles kunnen ook worden toegepast op de attributen van het beschermde object, die worden beschreven door systeemresource-attributen (Resource Attribute ACE).
- De implementatie van ctdb-cluster heeft de mogelijkheid toegevoegd om de MS-SWN (Service Witness Protocol) service te bieden, waarmee cliënten hun SMB-verbindingen naar clusterknopen kunnen volgen. Bijvoorbeeld, een cliënt verbonden met knoop "A" kan knoop "B" vragen om een melding te sturen als knoop "A" niet beschikbaar is. Voor het beheren van de service is een reeks commando's "net witness [list|client-move|share-move|force-unregister|force-response]" voorgesteld, waarmee de clusterbeheerder geregistreerde cliënten kan bekijken en kan vragen om verbindingsovergang naar andere knopen in het cluster.
- Voor configuraties met MIT Kerberos5 die als Active Directory domeincontroller functioneren, is nu minimaal versie MIT Krb5 1.21 vereist, die extra bescherming biedt tegen de kwetsbaarheid CVE-2022-37967.
- Bij het bouwen met de geïmporteerde Heimdal Kerberos is er geen installatie van de Perl-module JSON meer nodig, in plaats daarvan wordt de ingebouwde Perl5-module JSON::PP gebruikt.
- In de commando's "samba-tool user getpassword" en "samba-tool user syncpasswords", die worden gebruikt om het wachtwoord te bepalen en te synchroniseren, is de uitvoer gewijzigd bij het gebruik van de parameter ";rounds=" met de attributen virtualCryptSHA256 en virtualCryptSHA512 (bijvoorbeeld, '—attributes="virtualCryptSHA256;rounds=50000"'). Was: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF. Is nu: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF.
- In de implementatie van MS-WKST (Workstation Service Remote Protocol) is de ondersteuning voor het weergeven van de lijst van aangesloten gebruikers op basis van de inhoud van het bestand /var/run/utmp, waarin gegevens van gebruikers worden opgeslagen die op dit moment actief zijn in het systeem, stopgezet. De ondersteuning voor utmp is stopgezet vanwege de kwetsbaarheid van dit formaat voor het probleem van 2038.
Bron: opennet.ru
