Выпуск Samba 4.21.0

Po 6 mesecih razvoja je izšel izdelek Samba 4.21.0, ki nadaljuje razvoj veje Samba 4 z polno implementacijo kontrolerja domene in storitve Active Directory, združljive z implementacijo Windows 2008, in sposobne podpirati vse Microsoftove različice Windows odjemalcev, vključno z Windows 11. Samba 4 je večfunkcionalen strežniški izdelek, ki ponuja tudi implementacijo datotečnega strežnika, tiskarske storitve in strežnika za identifikacijo (winbind).

Ključne spremembe v Samba 4.20:

• Okrepljena varnost pri obravnavi seznamov "valid users", "invalid users", "read list" in "write list". Če zaradi napake pri prenosu podatkov ni bilo mogoče določiti SID po imenu uporabnika ali skupine, problematični zapis v seznamih ni prezrt, temveč povzroči izhod napake. Neobstoječi uporabniki in skupine se prezrejo.
• V strežnikom LDAP omogoča preverjanje pristnosti z uporabo SASL preko Kerberos ali NTLMSSP z osmerjanjem povezav preko TLS (ldaps ali starttls). Privzeta vrednost nastavitve 'ldap server require strong auth' zdaj pomeni uporabo SASL preko TLS, kar je ekvivalentno nastavitvi LdapEnforceChannelBinding v parametrih NTDS na platformi Windows.
• Implementacija baze podatkov LDB, ki se uporablja v Samba AD DC, se zdaj gradi v obliki javne knjižnice brez ustvarjanja ločenega tar-arhiva. Odstranjena je bila ovijalka s LDB Modules API za Python, ki že več let ne deluje. Spremenjeno je obravnavanje Unicode v LDB.
• Nekatere javne knjižnice Samba (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server in samdb) so privzeto prestavljene v razred notranjih (private).
• Omogočena je uporaba ldaps iz 'winbindd' in 'net ads'. V nastavitev 'client ldap sasl wrapping' je dodana podpora za vrednosti 'starttls' za uporabo STARTTLS na tcp-pristanišču 389 in 'ldaps' za uporabo TLS na tcp-pristanišču 636.
• Dodana nova možnost 'dns hostname' za nastavitev imena odjemalca v DNS (privzeto '[netbios name].[realm]').
• V Samba AD je bila uvedena rotacija poteklih gesel za račune, pri katerih se uporablja prijava s pametnimi karticami (določena je nastavitev 'smart card require for logon'), geslo pa se uporablja kot rezervna možnost pri vrnitvi na NTLM ali za šifriranje lokalnega profila.
• Določanje nastavitev 'veto files' in 'hide files' je dovoljeno vezati na posamezne uporabnike in skupine. Na primer, 'hide files : USERNAME = /somefile.txt/'.
• Zagotovljeno je samodejno posodabljanje keytab po spremembi gesla, ki se uporablja za avtentikacijo računalnika v domeni (machine password).
• Dod modul za VFS za Ceph FS, ki uporablja nizkonivojski API libcephfs in omogoča izboljšano zmogljivost v primerjavi z obstoječim modulom cephfs. Za nastavitev novega modula v smb.conf je treba uporabiti ime ‘ceph_new’ namesto ‘ceph’.
• Dodana podpora za upravljane računov gMSA (Group Managed Service Account), ki ustreza funkcionalnemu nivoju storitev domene Active Directory 2012. V orodje samba-tool so dodane ukaze za delo z korenskimi ključi gMSA (KDS), kot sta ‘samba-tool domain kds root_key create’ in ‘samba-tool domain kds root_key list’.
• Uvedena je podpora za funkcionalni nivo storitev domene Active Directory 2012R2.
• Opravljeno je bilo delo na zagotavljanju ponovljivih gradiv, ki potrjujejo, da je izvršna datoteka zgrajena iz razpoložljivih izvornih kod. Na primer, rezultat gradnje sedaj ni odvisen od nastavitev lokalizacije in imenika, v katerem je bila gradnja izvedena.
• Dodana je zaščita pred odsevom v /proc za zaupne podatke, ki se določajo ob klicu orodij Samba, da ti podatki ne bi bili vidni v izpisu ps ali top.

Izvor: opennet.ru