Izdaja Samba 4.20.0

Po 6 mesecih razvoja je izšla različica Samba 4.20.0, ki nadaljuje razvoj veje Samba 4 s polno implementacijo domenskega kontrolerja in storitve Active Directory, združljive z implementacijo Windows 2008 in sposobne podpirati vse Microsoftove različice Windows strank, vključno z Windows 11. Samba 4 je večfunkcionalni strežniški izdelek, ki ponuja tudi implementacijo datotečnega strežnika, storitve tiskanja in strežnika identifikacije (winbind).

Ključne spremembe v Samba 4.20:

• Privzeto je vključena zbirka novega orodja „wspsearch“ z realizacijo eksperimentalnega odjemalca za protokol WSP (Windows Search Protocol). Orodje omogoča pošiljanje iskalnih poizvedb na Windows strežnik, na katerem teče storitev WSP.
• V orodju „smbcacls“ je bila dodana podpora za zapisovanje seznamov za upravljanje dostopa DACL v datoteko in obnovitev DACL iz datoteke. Podatki se shranjujejo v formatu, ki ga podpira Windows orodje ‘icacls.exe’, kar zagotavlja prenosljivost datotek z ohranjenimi DACL (Discretionary Access Control List).
• V orodje „samba-tool“ so dodane razširitve za centralizirane politike dostopa Active Directory (Claims), politike avtorizacije (Authentication Policies) in kontejnere politik (Authentication Silos). Samba-tool se zdaj lahko uporablja za povezovanje uporabnika z zahtevami (claims) za nadaljnjo uporabo v pravilih, ki določajo dostop v okviru politike avtorizacije.

  Poleg tega se orodje samba-tool zdaj lahko uporablja za ustvarjanje in upravljanje politik avtorizacije ter za ustvarjanje in upravljanje kontejnerjev politik. Na primer, s pomočjo samba-tool je mogoče določiti, od kod in kam se lahko poveže uporabnik, če je dovoljena uporaba NTLM, ter v katerih storitvah se lahko uporabnik avtenticira.
• V implementaciji nadzornega kontrolerja na osnovi Samba domene Active Directory je dodana podpora politikam avtorizacije (Authentication Policies) in kontejnerjem politik (Authentication Silos), ki so bile ustvarjene preko orodja samba-tool ali uvožene iz konfiguracij Microsoft AD. Možnost je na voljo samo na sistemih z funkcionalno raven Active Directory vsaj 2012_R2 („ad dc functional level = 2016“ v smb.conf).
• V utiliti samba-tool je bila dodana podpora za odjemniške upravljane račune gMSA (Group Managed Service Account), pri katerih se uporabljajo samodejno posodobljena gesla. Ukazi za upravljanje gesel, ki so bili prej mogli biti uporabljeni le z lokalno bazo sam.ldb, so zdaj na voljo tudi za zunanje strežniku ob dostopu z avtentikacijo, pri čemer se uporablja možnost „-H ldap://$DCNAME. Med podprtimi operacijami: „samba-tool user getpassword“ za branje trenutnega in prejšnjega gesla gMSA; „samba-tool user get-kerberos-ticket“ za zapis Kerberos TGT (Ticket Granting Ticket) v lokalno predpomnilnik računov.
• Dodana je podpora za pogojne vnose nadzora dostopa (Conditional ACE), ki omogočajo dovoljenje ali blokiranje dostopa glede na dodatne pogoje — če pogojni izraz ni izpolnjen, se ACE prezre, sicer se uporabi kot običajen ACE. Pogoji preverjanja se lahko uporabljajo tudi za atribute zaščitenega objekta, ki jih opisujejo atributi sistemskih virov (Resource Attribute ACE).
• V realizacijo grozda ctdb je bila dodana možnost zagotavljanja storitve MS-SWN (Service Witness Protocol), s katero lahko stranke spremljajo svoje SMB-povezave na vozlišča grozda. Na primer, stranka, povezana z vozliščem „A“, lahko zahteva vozlišče „B“, da pošlje obvestilo, če vozlišče „A“ postane nedostopno. Za upravljanje storitve je predlagana serija ukazov „net witness [list|client-move|share-move|force-unregister|force-response]“, ki omogoča skrbniku grozda ogled registriranih strank in zahtevo za prenos povezave na druga vozlišča grozda.
• Za konfiguracije z MIT Kerberos5, ki delujejo kot kontroler domene Active Directory, je zdaj potrebna vsaj različica MIT Krb5 1.21, ki vključuje dodatno zaščito pred ranljivostjo CVE-2022-37967.
• Pri gradnji z uvoženim Heimdal Kerberos ni več potrebno namestiti Perl modula JSON, namesto tega se uporablja vgrajeni Perl5 modul JSON::PP.
• V ukazih „samba-tool user getpassword“ in „samba-tool user syncpasswords“, ki se uporabljajo za določitev in sinhronizacijo gesla, je bil spremenjen izhod pri uporabi parametra „;rounds=“ z atributi virtualCryptSHA256 in virtualCryptSHA512 (na primer, '—attributes="virtualCryptSHA256;rounds=50000"'). Bilo je: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF. Postalo je: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF.
• V implementaciji MS-WKST (Protokol daljinske storitve delovne postaje) je bila prekinjena podpora za prikaz seznama povezanih uporabnikov na podlagi vsebine datoteke /var/run/utmp, ki hrani podatke o uporabnikih, ki trenutno delujejo v sistemu. Podpora za utmp je bila prekinjena zaradi ranljivosti, povezane s težavo iz leta 2038.

Izvor: opennet.ru