Controller di dominio

Ora sono supportate due diverse modalità di distribuzione per il controller di dominio Samba:

Samba aggiornato alla versione 4.7.

Il valore predefinito per client max protocol è stato modificato in SMB3_11, il che significa che smbclient (e i relativi comandi) funzioneranno con i server che non supportano SMB1. È possibile utilizzare l’opzione -m/--max-protocol per sovrascrivere temporaneamente l’opzione client max protocol.

Il supporto alla crittografia in smbclient (opzione -e/--encrypt) funziona anche con i server SMB3 (Windows Server 2012 o versioni successive, Samba 4.0.0 o versioni successive).

Il passaggio a SMB3_11 come predefinito comporta anche che smbclient non negozi più le estensioni Unix SMB1 per impostazione predefinita quando comunica con un server Samba che ha l’opzione unix extensions = yes. Di conseguenza, alcuni comandi non sono più disponibili, come ad esempio posix_encrypt, posix_open, posix_mkdir, posix_rmdir, posix_unlink, posix_whoami, getfacl e symlink. L’utilizzo dell’opzione -mNT1 consente di riabilitarli, a condizione che il server supporti il protocollo SMB1.

`smbclient`ha introdotto un nuovo comando 'deltree' in grado di eseguire l’eliminazione ricorsiva di un albero di directory.

L’intervallo di porte dinamiche per i servizi RPC è stato modificato rispetto al vecchio valore predefinito 1024-1300, passando a 49152-65535. Questo intervallo di porte non è utilizzato solo da un Samba AD DC, ma si applica anche a tutti gli altri ruoli server, inclusi i controller di dominio in stile NT4. Il nuovo valore è stato definito da Microsoft a partire da Windows Server 2008 e versioni successive.

Supporto PKINIT

Supporto S4U2SELF/S4U2PROXY

Supporto per controller di dominio di sola lettura (RODC). Questa funzionalità non è completamente funzionante nemmeno con la build di Heimdal Kerberos.

FreeIPA utilizza ora Python 3.

Le impostazioni di sicurezza predefinite sono in linea con il resto di Fedora. In particolare, i certificati emessi di recente utilizzano SHA-256 come standard.

È stato aggiunto il supporto per le smartcard a FreeIPA e SSSD. Sono disponibili nuove ricette ipa-advise per configurare i client e i server registrati in FreeIPA affinché supportino l’autenticazione tramite smartcard.

L’interfaccia web di FreeIPA è ora accessibile tramite autenticazione con smart card. Questa funzionalità non è abilitata per impostazione predefinita.

Il modulo Kerberos PKINIT è abilitato per impostazione predefinita nelle nuove installazioni con un’Autorità di Certificazione integrata. Ciò consente di utilizzare le smartcard per accedere agli host registrati in FreeIPA e ottenere ticket Kerberos.

L’indicatore di autenticazione Kerberos pkinit viene emesso automaticamente quando la pre-autenticazione Kerberos PKINIT ha esito positivo. Di conseguenza, è possibile assegnare requisiti di sicurezza elevati ai servizi Kerberos che richiedono il successo dell’autenticazione tramite smartcard (pkinit), multi-fattore (otp) o RADIUS (radius) prima di consentire l’accesso.

Gli utenti provenienti da domini Active Directory attendibili possono ora accedere all’interfaccia web di FreeIPA ed eseguire operazioni self-service.

FreeIPA può ora essere installato in un ambiente soggetto ai requisiti FIPS 140-2.