Файловые серверы и контроллеры домена

Поскольку в системах Linux поддержка расширенных атрибутов включена по умолчанию, параметры "map readonly", "store dos attributes" и "ea support" изменили свои значения по умолчанию для обеспечения лучшей совместимости с файловым сервером Windows в установке по умолчанию.

В течение нескольких выпусков проверки конфигурации Samba были улучшены для более раннего обнаружения типичных ошибок отображения идентификаторов и остановки запуска до того, как изменения могли бы повлиять на фактическую работу. Поскольку изменения в идентификаторах могут привести к нарушениям контроля доступа и возможной утечке данных третьим лицам, эта работа помогает сократить количество неправильных, но широко распространённых конфигураций.

Начиная с Samba 4.6, инструмент 'testparm' можно использовать для проверки конфигурации отображения идентификаторов. После обновления запустите его и проверьте, не выводит ли он какие-либо предупреждения или ошибки. Обратитесь к разделу 'IDENTITY MAPPING CONSIDERATIONS' в справочной странице smb.conf за предложениями и рекомендациями. Существуют некоторые бэкенды отображения идентификаторов, которые не разрешено использовать в качестве бэкенда по умолчанию. Демон Winbind больше не запустится, если в качестве бэкенда по умолчанию настроен недопустимый бэкенд.

Начиная с Samba 4.8, конфигурации с “security = domain” или “security = ads” теперь требуют работающего ‘winbindd’. Возможность прямого обращения smbd к контроллерам домена в качестве запасного варианта удалена.

Наконец, Samba 4.9 различает анонимный доступ и доступ гостя через протокол SMB. Побочным эффектом этого является то, что теперь требуется наличие отображения для группы BUILTIN\Guests. Отображение может быть предоставлено автоматически, если бэкенд идентификаторов по умолчанию позволяет создавать записи по требованию. В качестве альтернативы утилита net может использоваться для предоставления отображения группы для BUILTIN\Guests с помощью

Конфигурация кластерного демона Samba (CTDB) была полностью переработана.

Пример скрипта для миграции конфигурации старого стиля на новый доступен в /usr/share/doc/ctdb/examples/config_migrate.sh.

Добавлен локальный плагин авторизации для MIT Kerberos. Плагин управляет взаимосвязью между субъектами Kerberos и учётными записями AD через winbind. Модуль получает субъект Kerberos и имя локальной учётной записи в качестве входных данных и затем может проверить, совпадают ли они. Это может решить проблемы с канонизированными именами, возвращаемыми Kerberos в среде AD. Если пользователь пытается войти как 'alice', но samAccountName установлен как ALICE (заглавными буквами), Kerberos вернёт ALICE в качестве имени пользователя. Kerberos не сможет сопоставить 'alice' с 'ALICE' в этом случае, и аутентификация не удастся. С этим плагином имена учётных записей могут быть правильно сопоставлены. Это применяется только к аутентификации GSSAPI, а не к получению начального билета выдачи билетов.

С этим плагином конфигурации на основе winbind становятся наравне с SSSD в среде AD.

Контроллер домена Active Directory в Samba 4.9 получил ряд улучшений. Наиболее примечательно, что теперь доступен новый экспериментальный бэкенд LDB, использующий LMDB. Это позволяет использовать базы данных размером более 4 ГБ (в настоящее время лимит установлен на 6 ГБ, но будет увеличен в будущем выпуске). Для включения lmdb подготовьте или присоедините домен, используя опцию “--backend-store=mdb”.

Обратите внимание, что это экспериментальная функция и не рекомендуется для использования в промышленных развёртываниях.

Samba AD DC в Fedora собирается с MIT Kerberos. Начиная с Samba 4.9, поддержка MIT Kerberos в Samba AD DC всё ещё является экспериментальной и может содержать ошибки. В трекере ошибок Samba вышестоящего проекта известны и ещё не исправлены следующие проблемы:

Поддержка доверенных доменов/лесов была дополнительно улучшена. Доверие внешних доменов, а также транзитивное доверие лесов поддерживаются в обоих направлениях (входящем и исходящем) для аутентификации Kerberos и NTLM.

Следующие функции являются новыми в версии 4.9 (по сравнению с 4.8):

Однако в настоящее время всё ещё существует несколько ограничений: