Utgåvan av Samba 4.21.0

Efter sex månaders utveckling har Samba 4.21.0 släppts, vilket fortsätter utvecklingen av Samba 4 med en fullständig implementation av domänkontrollanten och Active Directory-tjänsten, kompatibel med Windows 2008-implementationen och kapabel att stödja alla Microsoft-versioner av Windows-klienter, inklusive Windows 11. Samba 4 är en multifunktionell serverprodukt som också erbjuder en filserver, utskriftstjänst och identifieringstjänst (winbind).

Nyckeländringar i Samba 4.20:

• Säkerheten för hanteringen av listorna ‘valid users’, ‘invalid users’, ‘read list’ och ‘write list’ har förstärkts. Om det inte gick att bestämma SID baserat på användarnamn eller grupp på grund av ett överföringsfel, ignoreras inte den problematiska posten i listorna, utan leder till ett felmeddelande. Icke-existerande användare och grupper ignoreras.
• I servern LDAP har nu stöd för autentisering med SASL genom Kerberos eller NTLMSSP med tunnling av anslutningar över TLS (ldaps eller starttls). Standardinställningen för ‘ldap server require strong auth’ förutsätter nu användning av SASL över TLS, vilket motsvarar att sätta LdapEnforceChannelBinding i NTDS-inställningarna på Windows-plattformen.
• Implementeringen av LDB-databasen, som används i Samba AD DC, byggs nu som ett offentligt bibliotek utan att skapa ett separat tar-arkiv. Bindningen till LDB Modules API för Python har tagits bort, eftersom den inte har fungerat på flera år. Hanteringen av Unicode i LDB har ändrats.
• Vissa offentliga Samba-bibliotek (dcerpc-samr, samba-policy, tevent-util, dcerpc, samba-hostconfig, samba-credentials, dcerpc_server och samdb) har som standard nu klassificerats som interna (private).
• Stöd för att använda ldaps från ‘winbindd’ och ‘net ads’ har lagts till. I inställningen ‘client ldap sasl wrapping’ har stöd för värden ‘starttls’ lagts till för att använda STARTTLS på tcp-port 389 och ‘ldaps’ för att använda TLS på tcp-port 636.
• En ny alternativ ‘dns hostname’ har lagts till för att ställa in klientens namn i DNS (som standard ‘[netbios name].[realm]’).
• I Samba AD har rotation av utgångna lösenord implementerats för konton där smartkort används för inloggning (inställningen ‘smart card require for logon’ är angiven), och lösenordet används som en backup när man återgår till NTLM eller för att kryptera den lokala profilen.
• Det har blivit möjligt att definiera inställningarna ‘veto files’ och ‘hide files’ kopplade till specifika användare och grupper. Till exempel, ‘hide files : USERNAME = /somefile.txt/’.
• Automatisk uppdatering av keytab har säkerställts efter att lösenordet som används för datorautentisering i domänen (maskinlösenord) har ändrats.
• En ny VFS-modul för Ceph FS har lagts till, som använder det lågnivå-API:et libcephfs och ger högre prestanda jämfört med den befintliga cephfs-modulen. För att konfigurera den nya modulen i smb.conf, använd namnet 'ceph_new' istället för 'ceph'.
• Stöd för hanterade gMSA-konton (Group Managed Service Account) har lagts till, vilket är i linje med funktionsnivån för domänkontrollertjänster i Active Directory 2012 (Functional Level 2012). Kommandon för att arbeta med gMSAs rotnycklar (KDS) har lagts till i samba-tool, såsom 'samba-tool domain kds root_key create' och 'samba-tool domain kds root_key list'.
• Stöd för funktionsnivån för domänkontrollertjänster i Active Directory 2012R2 (Functional Level 2012R2) har implementerats.
• Arbetet har utförts för att möjliggöra reproducerbara byggen, vilket säkerställer att den binära filen är byggd från de angivna källtexterna. Till exempel beror nu byggresultatet inte längre på lokala inställningar och den katalog där bygget utfördes.
• Skydd mot spegling av känslig information i /proc, som anges vid körning av Samba-verktyg, har lagts till, så att dessa data inte är synliga i ps- eller top-utdata.

Källa: opennet.ru