Add in rety loop for query_user_list (from APP_HEAD). Deals with a bug
[nivanova/samba-autobuild/.git] / WHATSNEW.txt
1                   WHATS NEW IN Samba 3.0.0 beta1
2                            June 7 2003
3                   ==============================
4
5 This is a beta release of Samba 3.0.0. This is a non-production release 
6 intended for testing purposes.  Use at your own risk. 
7
8 The purpose of this beta release is to get wider testing of the major
9 new pieces of code in the current Samba 3.0 development tree. We have
10 officially ceased development on the 2.2.x release of Samba and are
11 concentrating on Samba 3.0. To reduce the time before the final 
12 Samba 3.0 release we need as many people as possible to start testing 
13 these beta releases, and to provide high quality feedback on what 
14 needs fixing.
15
16 Samba 3.0 is feature complete. However there is still some final 
17 work to be done on certain pieces of functionality.  Please refer to 
18 the section on "Known Issues" for more details.
19
20
21 Major new features:
22 -------------------
23
24 1)  Active Directory support. This release is able to join a ADS realm
25     as a member server and authenticate users using LDAP/kerberos.
26
27 2)  Unicode support. Samba will now negotiate UNICODE on the wire and
28     internally there is now a much better infrastructure for multi-byte
29     and UNICODE character sets.
30
31 3)  New authentication system. The internal authentication system has
32     been almost completely rewritten. Most of the changes are internal,
33     but the new auth system is also very configurable.
34
35 4)  New filename mangling system. The filename mangling system has been
36     completely rewritten. An internal database now stores mangling maps
37     persistently. This needs lots of testing.
38
39 5)  New "net" command. A new "net" command has been added. It is
40     somewhat similar to the "net" command in windows. Eventually we 
41     plan to replace a bunch of other utilities (such as smbpasswd) 
42     with subcommands in "net", at the moment only a few things are
43     implemented.
44
45 6)  Samba now negotiates NT-style status32 codes on the wire. This
46     improves error handling a lot.
47
48 7)  Better Windows 2000/XP/2003 printing support including publishing 
49     printer attributes in active directory
50
51 8)  New loadable RPC modules
52
53 9)  New dual-daemon winbindd support (-B) for better performance
54
55 10) Support for migrating from a Windows NT 4.0 domain to a Samba 
56     domain and maintaining user, group and domain SIDs
57
58 11) Support for establishing trust relationships with Windows NT 4.0
59     domain controllers
60   
61 12) Initial support for a distributed Winbind architecture using
62     an LDAP directory for storing SID to uid/gid mappings
63   
64 13) Major updates to the Samba documentation tree.
65
66 Plus lots of other improvements!
67
68
69 Additional Documentation
70 ------------------------
71
72 Please refer to Samba documentation tree (including in the docs/ 
73 subdirectory) for extensive explanations of installing, configuring
74 and maintaining Samba 3.0 servers and clients.  It is advised to 
75 begin with the Samba-HOWTO-Collection for overviews and specific 
76 tasks (the current book is up to approximately 400 pages) and to 
77 refer to the various man pages for information on individual options.
78
79
80 ######################################################################
81 Upgrading from Samba 2.2
82 ########################
83
84 This section is provided to help administrators understand the details
85 involved with upgrading a Samba 2.2 server to Samba 3.0
86
87
88 Building
89 --------
90
91 Many of the options to the GNU autoconf script have been modified 
92 in the 3.0 release.  The most noticeable are
93
94   * removal of --with-tdbsam (is now included by default; see section
95     on passdb backends and authentication for more details)
96     
97   * --with-ldapsam is now on used to provided backward compatible
98     parameters for LDAP enabled Samba 2.2 servers.  Refer to the passdb 
99     backend and authentication section for more details
100   
101   * inclusion of non-standard passdb modules may be enabled using
102     --with-expsam.  This includes an XML backend, a mysql backend,
103     and a NIS backend.
104       
105   * removal of --with-msdfs (is now enabled by default)
106   
107   * removal of --with-ssl (no longer supported)
108   
109   * --with-utmp now defaults to 'yes' on supported systems
110   
111   * --with-sendfile-support is now enabled by default on supported 
112     systems
113   
114     
115 Parameters
116 ----------
117
118 This section contains a brief listing of changes to smb.conf options
119 in the 3.0.0 release.  Please refer to the smb.conf(5) man page for
120 complete descriptions of new or modified parameters.
121
122 Removed Parameters (order alphabetically):
123
124   * admin log
125   * alternate permissions
126   * character set
127   * client codepage
128   * code page directory
129   * coding system
130   * domain admin group
131   * domain guest group
132   * force unknown acl user
133   * nt smb support
134   * post script
135   * printer driver
136   * printer driver file
137   * printer driver location
138   * status
139   * total print jobs
140   * use rhosts
141   * valid chars
142   * vfs options
143
144 New Parameters (new parameters have been grouped by function):
145
146   Remote management
147   -----------------
148   * abort shutdown script
149   * shutdown script
150
151   User and Group Account Management
152   ---------------------------------
153   * add group script
154   * add machine script
155   * add user to group script
156   * algorithmic rid base
157   * delete group script
158   * delete user from group script
159   * passdb backend
160   * set primary group script
161
162   Authentication
163   --------------
164   * auth methods
165   * ads server
166   * realm
167
168   Protocol Options
169   ----------------
170   * client lanman auth
171   * client NTLMv2 auth
172   * client schannel
173   * client signing
174   * client use spnego
175   * disable netbios
176   * ntlm auth
177   * paranoid server security
178   * server schannel
179   * smb ports
180   * use spnego
181
182   File Service
183   ------------
184   * get quota command
185   * hide special files
186   * hide unwriteable files
187   * hostname lookups
188   * kernel change notify
189   * mangle prefix
190   * msdfs proxy
191   * set quota command
192   * use sendfile
193   * vfs objects
194   
195   Printing
196   --------
197   * max reported print jobs
198
199   UNICODE and Character Sets
200   --------------------------
201   * display charset
202   * dos charset
203   * unicode
204   * unix charset
205   
206   SID to uid/gid Mappings
207   -----------------------
208   * idmap backend
209   * idmap gid
210   * idmap only
211   * idmap uid
212
213   LDAP
214   ----
215   * ldap delete dn
216   * ldap group suffix
217   * ldap idmap suffix
218   * ldap machine suffix
219   * ldap passwd sync
220   * ldap trust ids
221   * ldap user suffix
222   
223   General Configuration
224   ---------------------
225   * preload modules
226   * privatedir
227
228 Modified Parameters (changes in behavior):
229
230   * encrypt passwords (enabled by default)
231   * mangling method (set to 'hash2' by default)
232   * passwd chat
233   * passwd program
234   * restrict anonymous (integer value)
235   * security (new 'ads' value)
236   * strict locking (enabled by default)
237   * winbind cache time (increased to 5 minutes)
238   * winbind uid (deprecated in favor of 'idmap uid')
239   * winbind gid (deprecated in favor of 'idmap gid')
240
241
242 Databases
243 ---------
244
245 This section contains brief descriptions of any new databases 
246 introduced in Samba 3.0.  Please remember to backup your existing 
247 ${lock directory}/*tdb before upgrading to Samba 3.0.  Samba will 
248 upgrade databases as they are opened (if necessary), but downgrading 
249 from 3.0 to 2.2 is an unsupported path.
250
251 Name            Description                             Backup?
252 ----            -----------                             -------
253 account_policy  User policy settings                    yes
254 gencache        Generic caching db                      no
255 group_mapping   Mapping table from Windows              yes
256                 groups/SID to unix groups       
257 idmap           new ID map table from SIDS              yes
258                 to UNIX uids/gids.
259 namecache       Name resolution cache entries           no
260 netlogon_unigrp Cache of universal group                no
261                 membership obtained when 
262                 operating as a member of a 
263                 Windows domain
264 printing/*.tdb  Cached output from 'lpq                 no
265                 command' created on a per print 
266                 service basis
267 registry        Read-only samba registry skeleton       no
268                 that provides support for exporting
269                 various db tables via the winreg RPCs
270
271
272 Changes in Behavior
273 -------------------
274
275 The following issues are known changes in behavior between Samba 2.2 and 
276 Samba 3.0 that may affect certain installations of Samba.
277
278   1)  When operating as a member of a Windows domain, Samba 2.2 would 
279       map any users authenticated by the remote DC to the 'guest account'
280       if a uid could not be obtained via the getpwnam() call.  Samba 3.0
281       rejects the connection as NT_STATUS_LOGON_FAILURE.  There is no 
282       current work around to re-establish the 2.2 behavior.
283       
284   2)  When adding machines to a Samba 2.2 controlled domain, the 
285       'add user script' was used to create the UNIX identity of the 
286       machine trust account.  Samba 3.0 introduces a new 'add machine 
287       script' that must be specified for this purpose.  Samba 3.0 will
288       not fall back to using the 'add user script' in the absence of 
289       an 'add machine script'
290   
291
292 ######################################################################
293 Passdb Backends and Authentication
294 ##################################
295
296 There have been a few new changes that Samba administrators should be
297 aware of when moving to Samba 3.0.
298
299   1) encrypted passwords have been enabled by default in order to 
300      inter-operate better with out-of-the-box Windows client 
301      installations.  This does mean that either (a) a samba account
302      must be created for each user, or (b) 'encrypt passwords = no'
303      must be explicitly defined in smb.conf.
304     
305   2) Inclusion of new 'security = ads' option for integration 
306      with an Active Directory domain using the native Windows
307      Kerberos 5 and LDAP protocols.
308
309 Samba 3.0 also includes the possibility of setting up chains
310 of authentication methods (auth methods) and account storage 
311 backends (passdb backend).  Please refer to the smb.conf(5) 
312 man page for details.  While both parameters assume sane default 
313 values, it is likely that you will need to understand what the 
314 values actually mean in order to ensure Samba operates correctly.
315
316 The recommended passdb backends at this time are
317
318   * smbpasswd - 2.2 compatible flat file format
319   * tdbsam - attribute rich database intended as an smbpasswd
320     replacement for stand alone servers
321   * ldapsam - attribute rich account storage and retrieval 
322     backend utilizing an LDAP directory.  
323   * ldapsam_compat - a 2.2 backward compatible LDAP account 
324     backend
325     
326 Certain functions of the smbpasswd(8) tool have been split between the 
327 new smbpasswd(8) utility, the net(8) tool, and the new pdbedit(8) 
328 utility.  See the respective man pages for details.
329     
330      
331 ######################################################################
332 LDAP
333 ####
334
335 This section outlines the new features affecting Samba / LDAP integration.
336
337 New Schema
338 ----------
339   
340 A new object class (sambaSamAccount) has been introduced to replace 
341 the old sambaAccount.  This change aids us in the renaming of attributes 
342 to prevent clashes with attributes from other vendors.  There is a 
343 conversion script (examples/LDAP/convertSambaAccount) to modify and LDIF 
344 file to the new schema.
345   
346 Example:
347   
348         $ ldapsearch .... -b "ou=people,dc=..." > old.ldif
349         $ convertSambaAccount <DOM SID> old.ldif new.ldif
350         
351 The <DOM SID> can be obtained by running 'net getlocalsid <DOMAINNAME>' 
352 on the Samba PDC as root.
353     
354 The old sambaAccount schema may still be used by specifying the 
355 "ldapsam_compat" passdb backend.  However, the sambaAccount and
356 associated attributes have been moved to the historical section of
357 the schema file and must be uncommented before use if needed.
358 The 2.2 object class declaration for a sambaAccount has not changed
359 in the 3.0 samba.schema file. 
360   
361 Other new object classes and their uses include:
362   
363   * sambaDomain - domain information used to allocate rids 
364     for users and groups as necessary.  The attributes are added
365     in 'ldap suffix' directory entry automatically if 
366     an idmap uid/gid range has been set and the 'ldapsam'
367     passdb backend has been selected.
368       
369   * sambaGroupMapping - an object representing the 
370     relationship between a posixGroup and a Windows
371     group/SID.  These entries are stored in the 'ldap 
372     group suffix' and managed by the 'net groupmap' command.
373     
374   * sambaUnixIdPool - created in the 'ldap idmap suffix' entry 
375     automatically and contains the next available 'idmap uid' and 
376     'idmap gid'
377     
378   * sambaIdmapEntry - object storing a mapping between a 
379     SID and a UNIX uid/gid.  These objects are created by the 
380     idmap_ldap module as needed.
381
382     
383 New Suffix for Searching
384 ------------------------
385   
386 The following new smb.conf parameters have been added to aid in directing
387 certain LDAP queries when 'passdb backend = ldapsam://...' has been
388 specified.
389
390   * ldap suffix         - used to search for user and computer accounts
391   * ldap user suffix    - used to store user accounts
392   * ldap machine suffix - used to store machine trust accounts
393   * ldap group suffix   - location of posixGroup/sambaGroupMapping entries
394   * ldap idmap suffix   - location of sambaIdmapEntry objects
395
396 If an 'ldap suffix' is defined, it will be appended to all of the 
397 remaining sub-suffix parameters.  In this case, the order of the suffix
398 listings in smb.conf is important.  Always place the 'ldap suffix' first
399 in the list.  
400
401 Due to a limitation in Samba's smb.conf parsing, you should not surround 
402 the DN's with quotation marks.
403
404
405 IdMap LDAP support
406 ------------------
407
408 Samba 3.0 supports an ldap backend for the idmap subsystem.  The 
409 following options would inform Samba that the idmap table should be
410 stored on the directory server onterose in the "ou=idmap,dc=plainjoe,
411 dc=org" partition.
412
413  [global]
414     ...
415     idmap backend     = ldap:ldap://onterose/
416     ldap idmap suffix = ou=idmap,dc=plainjoe,dc=org
417     idmap uid         = 40000-50000
418     idmap gid         = 40000-50000
419
420 This configuration allows winbind installations on multiple servers to
421 share a uid/gid number space, thus avoiding the interoperability problems
422 with NFS that were present in Samba 2.2.
423     
424
425 ######################################################################
426 Known Issues
427 ############
428
429 * One such limitation that is worth mentioning (and will be corrected 
430   before the actual stable 3.0.0 release is the dead lock problem with
431   running winbindd on a Samba PDC in order to allocate uids and gids for 
432   users and groups in a trusted domain.  When the Samba domain is acting 
433   as the trusted domain to a Windows NT 4.0 domain, there are no known 
434   issues.
435
436 * The smbldap perl scripts for managing user entries in an LDAP 
437   directory have not be updated to function with the Samba 3.0
438   schema changes.  This (or an equivalent solution) work is planned
439   to be completed prior to the stable 3.0.0 release.
440
441 Please refer to https://bugzilla.samba.org/ for a current list of bugs 
442 filed against the Samba 3.0 codebase.
443
444
445 ######################################################################
446 Reporting bugs & Development Discussion
447 #######################################
448
449 Please discuss this release on the samba-technical mailing list or by
450 joining the #samba-technical IRC channel on irc.freenode.net.
451
452 If you do report problems then please try to send high quality
453 feedback. If you don't provide vital information to help us track down
454 the problem then you will probably be ignored.  
455
456 A new bugzilla installation has been established to help support the 
457 Samba 3.0 community of users.  This server, located at 
458 https://bugzilla.samba.org/, will replace the existing jitterbug server 
459 and the old http://bugs.samba.org now points to the new bugzilla server.
460