Thomas.will: 4.21: Keytabs neu geregelt

2026-10-18T16:51:28Z

4.21: Keytabs neu geregelt

← Nächstältere Version		Version vom 18. Oktober 2026, 16:51 Uhr
Zeile 42:		Zeile 42:
	*'''ldap server require strong auth = yes''' wird empfohlen, '''allow_sasl_over_tls''' ist veraltet.		*'''ldap server require strong auth = yes''' wird empfohlen, '''allow_sasl_over_tls''' ist veraltet.
	*Functional Level '''2012R2''' möglich.		*Functional Level '''2012R2''' möglich.
			*'''Keytabs neu geregelt''': net ads keytab add, delete und add_update_ads gibt es nicht mehr. Stattdessen beschreibt man in der smb.conf mit '''sync machine password to keytab''', welche Keytabs mit welchen Principals entstehen sollen, und erzeugt sie mit '''net ads keytab create'''. winbind schreibt sie bei jedem Wechsel des Maschinenpassworts automatisch neu. SPNs im AD trägt man mit '''net ads setspn add''' ein. Beispiele: [[Kerberos für Dienste]], [[Squid mit Kerberos]].

	==4.22 (Debian 13)==		==4.22 (Debian 13)==

Thomas.will: Neue Seite: Neuerungen Samba 4.18 bis 4.25, Debian 13

2026-10-18T16:20:15Z

Neue Seite: Neuerungen Samba 4.18 bis 4.25, Debian 13

Neue Seite

[[Kategorie:Samba]]
=Einfach erklärt=
*Samba erscheint zweimal im Jahr in einer neuen Version, im März und im September.
*Unterstützt werden immer nur die letzten drei Versionen: eine aktuelle, eine in Wartung, eine nur noch mit Sicherheitsupdates.
*Distributionen wie Debian bleiben bei einer Version und patchen selbst. Deshalb ist die Samba-Version auf einem Server oft älter als die aktuelle.

=Versionen=
{| class="wikitable"
! Version !! erschienen !! Stand Oktober 2026
|-
| 4.25 || September 2026 || aktuell
|-
| 4.24 || März 2026 || Wartung
|-
| 4.23 || September 2025 || nur Sicherheitsupdates
|-
| 4.22 || März 2025 || upstream eingestellt, '''in Debian 13''' weiter vom Debian-Security-Team gepflegt
|-
| 4.17 || September 2022 || in Debian 12
|}
*Nachschauen: '''samba -V'''

=Was sich für AD-Domänencontroller geändert hat=
==4.18==
*'''samba-tool dsacl delete''' entfernt Einträge aus Verzeichnis-ACLs.
*samba-tool zeigt bei typischen Fehlern eine kurze Meldung statt eines Python-Tracebacks. Alles sehen mit '''-d3'''.

==4.19==
*Functional Level '''2012 bis 2016''' teilweise möglich, nur wenn in der smb.conf aller DCs steht: '''ad dc functional level = 2016'''
*Passwortänderungen über unverschlüsseltes LDAP werden '''abgelehnt'''.
*Kerberos '''FAST''' für Windows-Clients, Authentication Policies und Silos werden gelesen, Claims stehen im PAC.
*Der KDC schreibt ein '''JSON-Audit''' der ausgestellten Tickets. Interessant für das SIEM.
*LDAP-Zertifikate ohne Neustart neu laden: '''smbcontrol ldap_server reload-certs'''

==4.20==
*Authentication Policies, Silos und Claims mit Functional Level 2016.
*Erste Unterstützung für Group Managed Service Accounts (gMSA): '''samba-tool user getpassword''', '''samba-tool user get-kerberos-ticket'''

==4.21==
*'''gMSA''' vollständig. Dafür braucht die Domäne einen KDS-Root-Key: '''samba-tool domain kds root_key create''' und '''list'''. Neue Domänen bekommen ihn beim Provision, aktualisierte müssen ihn anlegen.
*LDAP-Anmeldung per Kerberos und NTLM über '''ldaps''' und '''StartTLS''' mit Channel Binding.
*'''ldap server require strong auth = yes''' wird empfohlen, '''allow_sasl_over_tls''' ist veraltet.
*Functional Level '''2012R2''' möglich.

==4.22 (Debian 13)==
*Schnelleres Schema-Upgrade und Provision.
*Neue Netlogon-Optionen über Kerberos, alle noch experimentell.
*'''cldap port''' entfernt, CLDAP läuft immer über UDP 389.

==Nach Debian 13==
*'''4.23''': samba-tool domain backup --no-secrets entfernt jetzt auch KDS-Schlüssel und BitLocker-Daten aus der Sicherung.
*'''4.24''': Standard ist '''AES-only''' für Kerberos (kdc default domain supported enctypes), starke Zertifikatsbindung nach KB5014754 (strong certificate binding enforcement = full), Windows Hello for Business Key Trust, Audit von Änderungen an SPN und KeyCredentialLink.
*'''4.25''': vor allem Fehlerbehebungen am internen DNS.

=Was sich bei Debian geändert hat=
*Die Teile für den DC stecken im eigenen Paket '''samba-ad-dc'''.
*Das Paket '''ntp''' gibt es nicht mehr. Für den DC nimmt man '''chrony''' mit signierter Zeit (ntpsigndsocket).
*Die Units liegen unter /usr/lib/systemd/system, /lib ist nur noch ein Link.

=Was das im Lab heißt=
*Neue Domänen starten weiterhin mit Functional Level '''2008R2'''. Für 2016: beim Provision '''--option="ad dc functional level = 2016" --function-level=2016'''
*Windows Server 2022 legt Domänen mit Level 2016 an. Soll Samba einer solchen Domäne als DC beitreten, braucht es die Option ebenfalls.
*Programme, die sich per einfachem LDAP ohne Verschlüsselung anmelden, scheitern mit ''Strong(er) authentication required''. Lösung: ldaps oder StartTLS, nicht die Sicherheit abschalten.

=Quellen=
*https://wiki.samba.org/index.php/Samba_Release_Planning
*https://www.samba.org/samba/history/
*https://wiki.samba.org/index.php/Time_Synchronisation

=Weiter=
*[[Linux - Samba|Zurück zur Kursseite]]

Samba Neuerungen - Versionsgeschichte

Thomas.will: 4.21: Keytabs neu geregelt

Thomas.will: Neue Seite: Neuerungen Samba 4.18 bis 4.25, Debian 13