Na 6 maanden ontwikkeling is de release Samba 4.21.0 gepresenteerd, waarmee de ontwikkeling van de Samba 4-tak wordt voortgezet met een volledige implementatie van de domeincontroller en de Active Directory-service, compatibel met de Windows 2008-implementatie en in staat om alle ondersteunde Microsoft-versies van Windows-clients te bedienen, inclusief Windows 11. Samba 4 is een multifunctioneel serverproduct dat ook een bestandsserver, printservice en identificatieserver (winbind) biedt.
Belangrijkste wijzigingen in Samba 4.20:
- De beveiliging van de verwerking van de lijsten 'valid users', 'invalid users', 'read list' en 'write list' is versterkt. Als het vanwege een gegevensoverdrachtsfout niet mogelijk was om de SID op basis van de gebruikersnaam of groep te bepalen, wordt de problematische vermelding in de lijsten niet genegeerd, maar leidt dit tot het weergeven van een fout. Niet-bestaande gebruikers en groepen worden genegeerd.
- In de server LDAP ondersteunt nu authenticatie via SASL via Kerberos of NTLMSSP met verbindingen die via TLS worden doorgestuurd (ldaps of starttls). De standaardwaarde van de instelling 'ldap server require strong auth' impliceert nu het gebruik van SASL boven TLS, wat gelijkstaat aan het instellen van LdapEnforceChannelBinding in de NTDS-instellingen op het Windows-platform.
- De LDB-database-implementatie, gebruikt in Samba AD DC, wordt nu samengesteld als een openbare bibliotheek zonder de creatie van een aparte tar-archief. De binding met de LDB Modules API voor Python is verwijderd, die al enkele jaren niet meer functioneert. De verwerking van Unicode in LDB is gewijzigd.
- Sommige openbare Samba-bibliotheken (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server en samdb) zijn nu standaard geclassificeerd als intern (privé).
- Het is mogelijk om ldaps te gebruiken vanuit 'winbindd' en 'net ads'. Ondersteuning voor de waarden 'starttls' is toegevoegd aan de instelling 'client ldap sasl wrapping' om STARTTLS op tcp-poort 389 te gebruiken en 'ldaps' voor TLS op tcp-poort 636.
- Een nieuwe optie 'dns hostname' is toegevoegd voor het instellen van de klantnaam in DNS (standaard '[netbios name].[realm]').
- In Samba AD is de rotatie van verlopen wachtwoorden voor accounts die smartcards gebruiken (de instelling 'smart card require for logon' is opgegeven) geïmplementeerd; het wachtwoord wordt als back-up gebruikt indien er op NTLM moet worden teruggevallen of voor het versleutelen van het lokale profiel.
- De instellingen 'veto files' en 'hide files' mogen nu worden gedefinieerd in verband met specifieke gebruikers en groepen. Bijvoorbeeld, 'hide files : USERNAME = /somefile.txt/'.
- Automatische update van de keytab is gegarandeerd na het veranderen van het wachtwoord dat wordt gebruikt voor de authenticatie van de computer in het domein (machinewachtwoord).
- Een nieuwe VFS-module voor het Ceph-bestandssysteem is toegevoegd, die gebruikmaakt van de low-level API libcephfs en een hogere prestaties mogelijk maakt in vergelijking met de bestaande cephfs-module. Om de nieuwe module in smb.conf in te stellen, moet de naam ‘ceph_new’ in plaats van ‘ceph’ worden gebruikt.
- Ondersteuning voor beheerde gMSA (Group Managed Service Account) is toegevoegd, in overeenstemming met het functionele niveau van de Active Directory-diensten 2012 (Functioneel Niveau 2012). Er zijn commando's toegevoegd aan de samba-tool voor het beheren van kernsleutels gMSA (KDS), zoals ‘samba-tool domain kds root_key create’ en ‘samba-tool domain kds root_key list’.
- Ondersteuning voor het functionele niveau van de Active Directory-diensten 2012R2 (Functioneel Niveau 2012R2) is geïmplementeerd.
- Er is gewerkt aan het verzekeren van herhaalbare builds, zodat kan worden bevestigd dat het binaire bestand is samengesteld uit de geleverde bronbestanden. Bijvoorbeeld, het resultaat van de build is nu onafhankelijk van de locale-instellingen en de map waaruit de build is uitgevoerd.
- Bescherming tegen het weergeven van gevoelige gegevens in /proc, die worden opgegeven bij het aanroepen van Samba-tools, is toegevoegd, zodat deze gegevens niet zichtbaar zijn in de uitvoer van ps of top.
Bron: opennet.ru
