Efter 6 månaders utveckling släpps version 4.20.0 av Samba, som fortsätter utvecklingen av Samba 4 med en fullständig implementering av domänkontrollanten och Active Directory-tjänsten, kompatibel med Windows 2008-implementeringen och kapabel att stödja alla versioner av Windows-klienter som Microsoft stöder, inklusive Windows 11. Samba 4 är en multifunktionell serverprodukt som även tillhandahåller en filserver, utskriftstjänst och identitetstjänst (winbind).
Nyckeländringar i Samba 4.20:
- Som standard är den nya verktygen «wspsearch» aktiverad, som implementerar en experimentell klient för WSP-protokollet (Windows Search Protocol). Verktyget gör det möjligt att skicka sökfrågor till en Windows-server där WSP-tjänsten körs.
- I kommandot «smbcacls» har stöd för att skriva åtkomstkontrollistor DACL till fil och återställa DACL från fil implementerats. Data lagras i ett format som stöds av Windows-verktyget ‘icacls.exe’, vilket säkerställer portabilitet av filer med sparade DACL (Discretionary Access Control List).
- Verktyget «samba-tool» har fått utvidgningar för centrala åtkomstpolicys i Active Directory (Claims), autentiseringspolicys (Authentication Policies) och policybehållare (Authentication Silos). Nu kan samba-tool användas för att koppla en användare till påståenden (claims) för senare användning i regler som definierar åtkomsträttigheter inom autentiseringspolicyn.
Dessutom kan verktyget samba-tool nu användas för att skapa autentiseringspolicys och hantera dem, samt för att skapa och hantera policybehållare. Till exempel kan samba-tool användas för att definiera varifrån och vart en användare kan ansluta om NTLM-användning är tillåten och vilka tjänster användaren kan autentiseras i.
- I den baserade Samba-kontrollanten domän Active Directory har stöd för autentiseringspolicys (Authentication Policies) och policybehållare (Authentication Silos) som skapats via verktyget samba-tool eller importerats från Microsoft AD-konfigurationer. Denna funktion är endast tillgänglig på system med minst funktionellt nivå 2012_R2 ("ad dc functional level = 2016" i smb.conf).
- Det har lagts till klientstödda gMSA (Group Managed Service Account) i samba-tool, där automatiskt uppdaterade lösenord används. Kommandona för lösenordshantering i samba-tool, som tidigare bara kunde användas med en lokal databas sam.ldb, kan nu också tillämpas på externa servern vid autentiserad åtkomst, med hjälp av valet "-H ldap://$DCNAME. Bland de stödda operationerna finns: "samba-tool user getpassword" för att läsa det nuvarande och tidigare lösenordet för gMSA; "samba-tool user get-kerberos-ticket" för att skriva Kerberos TGT (Ticket Granting Ticket) till den lokala kontokassan.
- Stödet för Conditional ACE (villkorliga åtkomstkontrollposter) har lagts till, vilket gör det möjligt att tillåta eller blockera åtkomst beroende på ytterligare villkor — om det villkorliga uttrycket inte uppfylls, ignoreras ACE, annars tillämpas det som en vanlig ACE. Villkorliga kontroller kan också tillämpas på attribut för det skyddade objektet, som beskrivs av resursattribut (Resource Attribute ACE).
- Implementeringen av klustret ctdb har fått möjlighet att tillhandahålla tjänsten MS-SWN (Service Witness Protocol), genom vilken klienterna kan spåra sina SMB-anslutningar till kluster-noder. Till exempel kan en klient ansluten till nod "A" begära att nod "B" skickar en notification om nod "A" blir otillgänglig. För att hantera tjänsten föreslås en serie kommandon "net witness [list|client-move|share-move|force-unregister|force-response]", som gör det möjligt för klusteradministratören att se registrerade klienter och begära flytt av anslutning till andra noder i klustret.
- För konfigurationer med MIT Kerberos5, som fungerar som en domänkontroller för Active Directory, krävs nu minst version MIT Krb5 1.21, som innehåller ytterligare skydd mot sårbarheten CVE-2022-37967.
- Vid byggnation med importerad Heimdal Kerberos krävs inte längre installation av Perl-modulen JSON, utan den inbyggda Perl5-modulen JSON::PP används istället.
- I kommandona "samba-tool user getpassword" och "samba-tool user syncpasswords", som används för att bestämma och synkronisera lösenord, har utmatningen förändrats vid användning av parameter ";rounds=" med attributen virtualCryptSHA256 och virtualCryptSHA512 (till exempel, '—attributes="virtualCryptSHA256;rounds=50000"'). Före: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Efter: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- I implementeringen av MS-WKST (Workstation Service Remote Protocol) har stödet för att visa listan över anslutna användare baserat på innehållet i filen /var/run/utmp, som lagrar uppgifter om användare som för närvarande är aktiva i systemet, upphört. Stödet för utmp har upphört på grund av att detta format är utsatt för problemet år 2038.
Källa: opennet.ru
