Após 6 meses de desenvolvimento, foi lançada a versão Samba 4.20.0, que dá continuidade ao desenvolvimento da linha Samba 4 com a implementação completa do controlador de domínio e do serviço Active Directory, compatível com a implementação do Windows 2008 e capaz de atender todas as versões dos clientes Windows suportadas pela Microsoft, incluindo o Windows 11. O Samba 4 é um produto de servidor multifuncional que também fornece a implementação de servidor de arquivos, serviço de impressão e servidor de identificação (winbind).
Principais mudanças no Samba 4.20:
- Por padrão, a nova ferramenta 'wspsearch' foi incluída, com a implementação de um cliente experimental para o protocolo WSP (Protocolo de Pesquisa do Windows). A ferramenta permite enviar consultas de pesquisa para um servidor Windows onde o serviço WSP está em execução.
- Na equipe 'smbcacls', foi implementado o suporte para gravar listas de controle de acesso DACL em um arquivo e restaurar DACL de um arquivo. Os dados são salvos em um formato compatível com a ferramenta do Windows 'icacls.exe', o que garante a portabilidade dos arquivos com DACL (Lista de Controle de Acesso Discricionário) mantidas.
- A ferramenta 'samba-tool' recebeu extensões para políticas de acesso centralizadas do Active Directory (Claims), políticas de autenticação (Authentication Policies) e contêineres de políticas (Authentication Silos). Agora, o samba-tool pode ser usado para vincular usuários a declarações (claims) para uso posterior em regras que determinam o acesso às políticas de autenticação.
Além disso, a ferramenta samba-tool agora pode ser utilizada para criar e gerenciar políticas de autenticação, bem como para criar e gerenciar contêineres de políticas. Por exemplo, com o samba-tool é possível definir de onde e para onde um usuário pode se conectar, se o uso de NTLM é permitido, e em quais serviços o usuário pode ser autenticado.
- No controlador baseado em Samba implementado de domínio o Active Directory adicionou suporte para políticas de autenticação (Authentication Policies) e contêineres de políticas (Authentication Silos), criados através da ferramenta samba-tool ou importados de configurações do Microsoft AD. Esta funcionalidade está disponível apenas em sistemas com nível funcional do Active Directory de pelo menos 2012_R2 ('ad dc functional level = 2016' no smb.conf).
- A ferramenta samba-tool agora inclui suporte do lado do cliente para contas de serviço gerenciadas em grupo (gMSA), que utilizam senhas atualizadas automaticamente. Os comandos de gerenciamento de senhas disponíveis no samba-tool, que antes podiam ser usados apenas com o banco de dados local sam.ldb, agora podem ser aplicados também a fontes externas. servidor com acesso autenticado, usando a opção "-H ldap://$DCNAME." Entre as operações suportadas estão: "samba-tool user getpassword" para ler a senha atual e anterior do gMSA; "samba-tool user get-kerberos-ticket" para gravar o TGT (Ticket Granting Ticket) do Kerberos no cache local das contas.
- Foi adicionada a suporte para entradas de controle de acesso condicionais (Conditional ACE), que permitem permitir ou bloquear o acesso com base em condições adicionais — se a expressão condicional não se verificar, a ACE é ignorada, caso contrário, ela é aplicada como uma ACE normal. Verificações condicionais também podem ser aplicadas a atributos do objeto protegido, descritos por atributos de recursos do sistema (Resource Attribute ACE).
- Na implementação do cluster ctdb, foi adicionada a capacidade de fornecer o serviço MS-SWN (Service Witness Protocol), que permite que os clientes monitorem suas conexões SMB com os nós do cluster. Por exemplo, um cliente conectado ao nó "A" pode solicitar que o nó "B" envie uma notificação se o nó "A" se tornar inacessível. Para gerenciar o serviço, foi proposta uma série de comandos "net witness [list|client-move|share-move|force-unregister|force-response]", permitindo que o administrador do cluster visualize os clientes registrados e solicite a transferência de conexões para outros nós do cluster.
- Para configurações com MIT Kerberos5, atuando como controlador de domínio do Active Directory, agora é necessário pelo menos a versão MIT Krb5 1.21, que inclui uma proteção adicional contra a vulnerabilidade CVE-2022-37967.
- Ao compilar com Heimdal Kerberos importado, não é mais necessário instalar o módulo Perl JSON, pois agora é utilizado o módulo JSON::PP integrado ao Perl5.
- Nos comandos "samba-tool user getpassword" e "samba-tool user syncpasswords", usados para determinar e sincronizar a senha, a saída foi alterada ao usar o parâmetro ";rounds=" com os atributos virtualCryptSHA256 e virtualCryptSHA512 (por exemplo, '—attributes="virtualCryptSHA256;rounds=50000"'). Antes: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Agora: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- Na implementação do MS-WKST (Protocolo de Serviço de Estação de Trabalho Remota), o suporte à exibição da lista de usuários conectados com base no conteúdo do arquivo /var/run/utmp, que armazena dados sobre os usuários atualmente ativos no sistema, foi descontinuado. O suporte ao utmp foi interrompido devido à vulnerabilidade desse formato ao problema do ano 2038.
Fonte: opennet.ru
