WHATSNEW: add SmartCard/PKINIT improvements
[samba.git] / WHATSNEW.txt
1 Release Announcements
2 =====================
3
4 This is the first preview release of Samba 4.5.  This is *not*
5 intended for production environments and is designed for testing
6 purposes only.  Please report any defects via the Samba bug reporting
7 system at https://bugzilla.samba.org/.
8
9 Samba 4.5 will be the next version of the Samba suite.
10
11
12 UPGRADING
13 =========
14
15 NTLMv1 authentication disabled by default
16 -----------------------------------------
17
18 In order to improve security we have changed
19 the default value for the "ntlm auth" option from
20 "yes" to "no". This may have impact on very old
21 client which doesn't support NTLMv2 yet.
22
23 The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.
24
25 By default Samba will only allow NTLMv2 via NTLMSSP now,
26 as we have the following default "lanman auth = no",
27 "ntlm auth = no" and "raw NTLMv2 auth = no".
28
29
30 NEW FEATURES/CHANGES
31 ====================
32
33 Support for LDAP_SERVER_NOTIFICATION_OID
34 ----------------------------------------
35
36 The ldap server has support for the LDAP_SERVER_NOTIFICATION_OID
37 control. This can be used to monitor the active directory database
38 for changes.
39
40 KCC improvements for sparse network replication
41 -----------------------------------------------
42
43 The Samba KCC will now be the default knowledge consistency checker in
44 Samba AD. Instead of using full mesh replication between every DC, the
45 KCC will set up connections to optimize replication latency and cost
46 (using site links to calculate the routes). This change should allow
47 larger domains to function significantly better in terms of replication
48 traffic and the time spent performing DRS replication.
49
50 VLV - Virtual List View
51 -----------------------
52
53 The VLV Control allows applications to page the LDAP directory in the
54 way you might expect a live phone book application to operate, without
55 first downloading the entire directory.
56
57 DRS Replication for the AD DC
58 -----------------------------
59
60 DRS Replication in Samba 4.5 is now much more efficient in handling
61 linked attributes, particularly in large domains with over 1000 group
62 memberships or other links.
63
64 Replication is also much more reliable in the handling of tree
65 renames, such as the rename of an organizational unit containing many
66 users.  Extensive tests have been added to ensure this code remains
67 reliable, particularly in the case of conflicts between objects added
68 with the same name on different servers.
69
70 Schema updates are also handled much more reliably.
71
72 replPropertyMetaData Changes
73 ----------------------------
74
75 During the development of the DRS replication, tests showed that Samba
76 stores the replPropertyMetaData object incorrectly.  To address this,
77 be aware that dbcheck will now detect and offer to fix all objects in
78 the domain for this error.
79
80 Linked attributes on deleted objects
81 ------------------------------------
82
83 In Active Directory, an object that has been tombstoned or recycled
84 has no linked attributes.  However, Samba incorrectly maintained such
85 links, slowing replication and run-time performance.  dbcheck now
86 offers to remove such links, and they are no longer kept after the
87 object is tombstoned or recycled.
88
89 Improved AD DC performance
90 --------------------------
91
92 Many other improvements have been made to our LDAP database layer in
93 the AD DC, to improve performance, both during samba-tool domain
94 provision and at runtime.
95
96 Other dbcheck improvements
97 --------------------------
98
99  - samba-tool dbcheck can now find and fix a missing or corrupted
100    'deleted objects' container.
101  - BUG 11433: samba-dbcheck no longer offers to resort auxiliary class values
102    in objectClass as these were then re-sorted at the next dbcheck indefinitely.
103
104 Tombstone Reanimation
105 ---------------------
106
107 Samba now supports tombstone reanimation, a feature in the AD DC
108 allowing tombstones, that is objects which have been deleted, to be
109 restored with the original SID and GUID still in place.
110
111 Multiple DNS Forwarders on the AD DC
112 ------------------------------------
113
114 Multiple DNS forwarders are now supported on the AD DC, allowing
115 samba to fall back between two different DNS servers for forwarded queries.
116
117 Password quality plugin support in the AD DC
118 --------------------------------------------
119
120 The check password script now operates correctly in the AD DC (this
121 was silently ignored in past releases)
122
123 pwdLastSet is now correctly honoured
124 ------------------------------------
125
126 BUG 9654: the pwdLastSet attribute is now correctly handled (this previously
127 permitted passwords that next expire).
128
129 net ads dns unregister
130 ----------------------
131
132 It is now possible to remove the DNS entries created with 'net ads register'
133 with the matching 'net ads unregister' command.
134
135 Samba-tool improvements
136 ------------------------
137
138 Running samba-tool on the command line should now be a lot snappier. The tool
139 now only loads the code specific to the subcommand that you wish to run.
140
141 SMB 2.1 Leases enabled by default
142 ---------------------------------
143
144 Leasing is an SMB 2.1 (and higher) feature which allows clients to
145 aggressively cache files locally above and beyond the caching allowed
146 by SMB 1 oplocks. This feature was disabled in previous releases, but
147 the SMB2 leasing code is now considered mature and stable enough to be
148 enabled by default.
149
150 Open File Description (OFD) Locks
151 ---------------------------------
152
153 On systems that support them (currently only Linux), the fileserver now
154 uses Open File Description (OFD) locks instead of POSIX locks to implement
155 client byte range locks. As these locks are associated with a specific
156 file descriptor on a file this allows more efficient use when multiple
157 descriptors having file locks are opened onto the same file. An internal
158 tunable "smbd:force process locks = true" may be used to turn off OFD
159 locks if there appear to be problems with them.
160
161 Password sync as active directory domain controller
162 ---------------------------------------------------
163
164 The new commands 'samba-tool user getpassword'
165 and 'samba-tool user syncpasswords' provide
166 access and syncing of various password fields.
167
168 If compiled with GPGME support (--with-gpgme) it's
169 possible to store cleartext passwords in a PGP/OpenGPG
170 encrypted form by configuring the new "password hash gpg key ids"
171 option. This requires gpgme devel and python packages to be installed
172 (e.g. libgpgme11-dev and python-gpgme on debian/ubuntu).
173
174 Python crypto requirements
175 --------------------------
176
177 Some samba-tool subcommands require python-crypto and/or
178 python-m2crypto packages to be installed.
179
180 SmartCard/PKINIT improvements
181 -----------------------------
182
183 "samba-tool user create" accepts --smartcard-required
184 and "samba-tool user setpassword" accepts --smartcard-required
185 and --clear-smartcard-required.
186
187 Specifying --smartcard-required results in the UF_SMARTCARD_REQUIRED
188 flags being set in the userAccountControl attribute.
189 At the same time the account password is reset to a random
190 NTHASH value.
191
192 Interactive password logons are rejected, if the UF_SMARTCARD_REQUIRED
193 bit is set in the userAccountControl attribute of a user.
194
195 When doing a PKINIT based kerberos logon the KDC adds the
196 required PAC_CREDENTIAL_INFO element to the authorization data.
197 That means the NTHASH is shared between the PKINIT based client and
198 the domain controller, which allows the client to do NTLM based
199 authentication on behalf of the user. It also allows on offline
200 logon using a smartcard to work on Windows clients.
201
202
203 REMOVED FEATURES
204 ================
205
206 only user and username parameters
207 ---------------------------------
208 These two parameters have long been deprecated and superseded by
209 "valid users" and "invalid users".
210
211
212 smb.conf changes
213 ================
214
215   Parameter Name                Description             Default
216   --------------                -----------             -------
217   kccsrv:samba_kcc              Changed default         yes
218   ntlm auth                     Changed default         no
219   only user                     Removed
220   password hash gpg key ids     New
221   smb2 leases                   Changed default         yes
222   username                      Removed
223
224
225 KNOWN ISSUES
226 ============
227
228 Currently none.
229
230 #######################################
231 Reporting bugs & Development Discussion
232 #######################################
233
234 Please discuss this release on the samba-technical mailing list or by
235 joining the #samba-technical IRC channel on irc.freenode.net.
236
237 If you do report problems then please try to send high quality
238 feedback. If you don't provide vital information to help us track down
239 the problem then you will probably be ignored.  All bug reports should
240 be filed under the Samba 4.1 and newer product in the project's Bugzilla
241 database (https://bugzilla.samba.org/).
242
243
244 ======================================================================
245 == Our Code, Our Bugs, Our Responsibility.
246 == The Samba Team
247 ======================================================================
248