Utgivelse av Samba 4.21.0

Etter 6 måneders utvikling ble versjon 4.21.0 av Samba lansert, som videreførte utviklingen av Samba 4 med fullstendig implementering av domenekontroller og Active Directory-tjeneste, kompatibel med Windows 2008-implementeringen, og i stand til å støtte alle Microsoft-støttede versjoner av Windows-klienter, inkludert Windows 11. Samba 4 er et flerfunksjonelt serverprodukt som også tilbyr implementering av filserver, utskriftstjeneste og identifikasjonsserver (winbind).

Viktige endringer i Samba 4.20:

• Sikkerheten ved behandling av listene «valid users», «invalid users», «read list» og «write list» er forbedret. Hvis det oppstår en feil under datatransmisjon som gjør det umulig å bestemme SID ut fra brukernavn eller gruppe, vil den problematiske posten i listene ikke bli ignorert, men føre til en feilmelding. Ikkeeksisterende brukere og grupper blir fortsatt ignorert.
• I serveren LDAP støtter nå autentisering ved hjelp av SASL gjennom Kerberos eller NTLMSSP med tilkoblingsproxy over TLS (ldaps eller starttls). Standardverdien for innstillingen ‘ldap server require strong auth’ innebærer nå bruk av SASL over TLS, som tilsvarer innstillingen av LdapEnforceChannelBinding i NTDS-parametrene på Windows-plattformen.
• Implementeringen av LDB-databasen som brukes i Samba AD DC, er nå bygget som et offentlig biblioteksformat uten å opprette et separat tar-arkiv. Bindingen til LDB Modules API for Python, som ikke har fungert på flere år, er fjernet. Behandlingen av Unicode i LDB er endret.
• Flere offentlige Samba-biblioteker (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server og samdb) er nå som standard klassifisert som interne (private).
• Muligheten til å bruke ldaps fra ‘winbindd’ og ‘net ads’ er nå tilgjengelig. Innstillingen ‘client ldap sasl wrapping’ har fått støtte for verdiene ‘starttls’ for å bruke STARTTLS på TCP-port 389 og ‘ldaps’ for å bruke TLS på TCP-port 636.
• Det er lagt til et nytt alternativ «dns hostname» for å sette klientens navn i DNS (standard er «[netbios name].[realm]»).
• I Samba AD er det implementert rotasjon av utgåtte passord for kontoer som bruker smartkort for pålogging (innstillingen «smart card require for logon» er angitt), og passordet brukes som en reserve ved tilbakestilling til NTLM eller for kryptering av lokal profil.
• Det er nå tillatt å definere innstillingene «veto files» og «hide files» knyttet til individuelle brukere og grupper. For eksempel, «hide files : USERNAME = /somefile.txt/».
• Automatisk oppdatering av keytab er sikret etter endring av passordet som brukes til autentisering av datamaskinen i domenet (machine password).
• En ny VFS-modul for Ceph-filsystemet er lagt til, som bruker det lavnivå API-et libcephfs og gjør det mulig å oppnå høyere ytelse sammenlignet med den eksisterende cephfs-modulen. For å konfigurere den nye modulen i smb.conf, bør navnet 'ceph_new' brukes i stedet for 'ceph'.
• Støtte for administrerte gMSA (Group Managed Service Account) er lagt til, i samsvar med funksjonsnivået for Active Directory domenetjenester 2012 (Functional Level 2012). Samba-tool verktøyet har fått nye kommandoer for å håndtere gMSA rotblokkene (KDS), som «samba-tool domain kds root_key create» og «samba-tool domain kds root_key list».
• Støtte for funksjonsnivået for Active Directory domenetjenester 2012R2 (Functional Level 2012R2) er implementert.
• Det er arbeidet med å sikre reproducerbare byggeprosesser, noe som gjør det mulig å bekrefte at den binære filen er bygget fra de leverte kildekodene. For eksempel er ikke byggeutfallet lenger avhengig av lokalisasjonsinnstillinger og katalogen der byggeprosessen ble utført.
• Beskyttelse mot refleksjon av konfidensiell informasjon i /proc som spesifiseres under anrop av Samba-verktøy, er lagt til, slik at disse dataene ikke er synlige i ps- eller top-utdata.

Kilde: opennet.ru