Po 6 mesiacoch vývoja bol predstavený release Samba 4.21.0, ktorý pokračuje v rozvoji vetvy Samba 4 s plnohodnotnou realizáciou doménového kontroléra a služby Active Directory, kompatibilnej s implementáciou Windows 2008 a schopnej obsluhovať všetky podporované verzie Windows klientov vrátane Windows 11. Samba 4 je multifunkčný serverový produkt, ktorý poskytuje aj realizáciu súborového servera, služby tlače a servera identifikácie (winbind).
Kľúčové zmeny v Samba 4.20:
- Zosilnená bezpečnosť spracovania zoznamov „valid users“, „invalid users“, „read list“ a „write list“. Ak z dôvodu chyby pri prenose údajov nebolo možné určiť SID podľa mena používateľa alebo skupiny, problémový záznam v zoznamoch nie je ignorovaný, ale vedie k vyhláseniu chyby. Neexistujúci používatelia a skupiny sú ignorované.
- V serveri LDAP implementuje možnosť autentifikácie pomocou SASL cez Kerberos alebo NTLMSSP s pretunnelovanými pripojeniami cez TLS (ldaps alebo starttls). Predvolené nastavenie parametra ‘ldap server require strong auth’ teraz predpokladá použitie SASL cez TLS, čo je ekvivalentné nastaveniu LdapEnforceChannelBinding v parametroch NTDS na platforme Windows.
- Realizácia databázy LDB, používaná v Samba AD DC, sa teraz kompiluje vo forme verejnej knižnice bez vytvorenia oddeleného tar archívu. Bola odstránená väzba na LDB Modules API pre Python, ktorá už niekoľko rokov nefungovala. Zmenená spracovanie Unicode v LDB.
- Niektoré verejné knižnice Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server a samdb) sú predvolene prevedené do kategórie interných (private).
- Poskytnutá možnosť použitia ldaps z ‘winbindd’ a ‘net ads’. Do nastavenia ‘client ldap sasl wrapping’ bola pridaná podpora hodnôt ‘starttls’ na použitie STARTTLS na tcp porte 389 a ‘ldaps’ na použitie TLS na tcp porte 636.
- Pridaná nová voľba „dns hostname“ na nastavenie mena klienta v DNS (predvolene „[netbios name].[realm]“).
- V Samba AD bola implementovaná rotácia expirovaných hesiel pre účty, pri ktorých sa používa prihlásenie s inteligentnými kartami (je uvedené nastavenie „smart card require for logon“), pričom heslo sa používa ako záložná alternatíva pri prechode na NTLM alebo na šifrovanie lokálneho profilu.
- Povoľuje sa definovanie nastavení „veto files“ a „hide files“ viazaných na jednotlivých používateľov a skupiny. Napríklad, „hide files : USERNAME = /somefile.txt/“.
- Automatické aktualizácie keytab po zmene hesla, ktoré sa používa na autentifikáciu počítača v doméne (heslo počítača), sú zabezpečené.
- Pridaný nový VFS modul pre systém súborov Ceph, ktorý využíva nízkoúrovňové API libcephfs a umožňuje dosiahnuť vyšší výkon v porovnaní so súčasným modulom cephfs. Pre nastavenie nového modulu v smb.conf by ste mali použiť názov 'ceph_new' namiesto 'ceph'.
- Pridaná podpora spravovaných účtov gMSA (Group Managed Service Account), zodpovedajúca funkčnej úrovni doménových služieb Active Directory 2012 (Funkčná úroveň 2012). Do nástroja samba-tool boli pridané príkazy na prácu s koreňovými kľúčmi gMSA (KDS), ako napríklad „samba-tool domain kds root_key create“ a „samba-tool domain kds root_key list“.
- Implementovaná podpora funkčnej úrovne doménových služieb Active Directory 2012R2 (Funkčná úroveň 2012R2).
- Bola vykonaná práca na zabezpečení opakovaných zostavení, čo umožňuje overiť, že binárny súbor bol zostavený z poskytovaných zdrojových kódov. Napríklad výsledok zostavenia teraz nezávisí od nastavení lokálnej konfigurácie a adresára, v ktorom sa zostavovalo.
- Pridaná ochrana pred odrazom v /proc citlivých údajov, ktoré sa uvádzajú pri volaní nástrojov Samba, aby tieto údaje neboli viditeľné vo výstupe ps alebo top.
Zdroj: opennet.ru
