După 6 luni de dezvoltare, a fost lansată versiunea Samba 4.21.0, continuând dezvoltarea ramurii Samba 4 cu o implementare completă a controlerului de domeniu și serviciului Active Directory, compatibil cu implementarea Windows 2008 și capabil să susțină toate versiunile Microsoft Windows pentru clienți, inclusiv Windows 11. Samba 4 este un produs server multifuncțional, care oferă de asemenea implementarea unui server de fișiere, serviciu de imprimare și server de identitate (winbind).
Schimbări cheie în Samba 4.20:
- A fost întărită securitatea procesării listelor „valid users”, „invalid users”, „read list” și „write list”. Dacă din cauza unei erori de transmitere a datelor nu a fost posibilă determinarea SID-ului după numele utilizatorului sau grupului, înregistrarea problematică din liste nu este ignorată, ci conduce la afișarea unei erori. Utilizatorii și grupurile inexistente sunt ignorate.
- În server A fost implementată autentificarea LDAP prin SASL folosind Kerberos sau NTLMSSP cu redirecționarea conexiunilor peste TLS (ldaps sau starttls). Valoarea implicită a setării ‘ldap server require strong auth’ implică acum utilizarea SASL peste TLS, echivalentă cu setarea LdapEnforceChannelBinding în parametrii NTDS pe platforma Windows.
- Implementarea bazei de date LDB, utilizată în Samba AD DC, se compilează acum sub formă de bibliotecă publică fără a crea un arhivă tar separată. A fost eliminată legătura cu API-ul LDB Modules pentru Python, care nu a fost funcțională timp de câțiva ani. A fost modificată procesarea Unicode în LDB.
- Unele biblioteci publice Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server și samdb) au fost mutate implicit în categoria internă (private).
- A fost oferită posibilitatea de a utiliza ldaps din ‘winbindd’ și ‘net ads’. În configurarea ‘client ldap sasl wrapping’ a fost adăugată suport pentru valorile ‘starttls’ pentru utilizarea STARTTLS pe portul tcp 389 și ‘ldaps’ pentru utilizarea TLS pe portul tcp 636.
- A fost adăugată o nouă opțiune „dns hostname” pentru a seta numele clientului în DNS (implicit „[netbios name].[realm]”).
- În Samba AD a fost implementată rotația parolelor expirate pentru conturile ce utilizează carduri inteligente pentru autentificare (și-a menționat setarea „smart card require for logon”), iar parola este utilizată ca o variantă de rezervă în cazul revenirii la NTLM sau pentru criptarea profilului local.
- A fost permisă definirea setărilor „veto files” și „hide files” asociate cu utilizatori și grupuri individuale. De exemplu, „hide files : USERNAME = /somefile.txt/”.
- A fost asigurată actualizarea automată a keytab-ului după schimbarea parolei utilizate pentru autentificarea computerului în domeniu (parola mașinii).
- A fost adăugat un nou modul VFS pentru sistemul de fișiere Ceph, care utilizează API-ul de nivel jos libcephfs și permite obținerea unei performanțe mai ridicate în comparație cu modulul existent cephfs. Pentru configurarea noului modul în smb.conf, trebuie folosit numele 'ceph_new' în loc de 'ceph'.
- A fost adăugată suportul pentru conturile de serviciu gestionate gMSA (Group Managed Service Account), corespunzător nivelului funcțional al serviciilor de domeniu Active Directory 2012 (Functional Level 2012). Comenzile pentru gestionarea cheilor rădăcină gMSA (KDS) au fost adăugate la utilitarul samba-tool, precum 'samba-tool domain kds root_key create' și 'samba-tool domain kds root_key list'.
- A fost implementat suportul pentru nivelul funcțional al serviciilor de domeniu Active Directory 2012R2 (Functional Level 2012R2).
- S-au efectuat lucrări pentru a asigura construcții repetabile, permițând verificarea faptului că fișierul binar a fost construit din sursele furnizate. De exemplu, rezultatul construcției nu mai depinde acum de setările locale și de directorul în care a fost efectuată construcția.
- A fost adăugată protecția împotriva expunerii datelor confidențiale în /proc, care sunt furnizate la apelarea utilitarului Samba, pentru a împiedica vizibilitatea acestor date în ieșirea ps sau top.
Sursa: opennet.ro
