WHATSNEW.txt

   1                    WHATS NEW IN Samba 3.0.1pre2
   2                          November 7, 2003
   3                   ==============================
   4
   5 This is a preview release of the Samba 3.0.1 code base and is
   6 provided for testing only.  This release is *not* intended for
   7 production servers.  Use at your own risk.
   8
   9 There have been several bug fixes since the 3.0.0 releaser that
  10 we feel are important to make available to the Samba community
  11 for wider testings.  See the "Changes" section for details on
  12 exact updates.
  13
  14
  15 ######################################################################
  16 Changes
  17 #######
  18 Changes since 3.0.1pre1
  19 -----------------------
  20
  21 Please refer to the CVS log for the SAMBA_3_0 branch for complete
  22 details:
  23
  24 1)  Match Samba 2.2 behavior; make ACB_NORMAL the default ACB value.
  25 2)  Updated Japanese welcome file in SWAT.
  26 3)  Fix to  nt-time <-> unix-time functions reversible.
  27 4)  Ensure that winbindd uses the the escaped DN when querying
  28     an AD ldap server.
  29 5)  Fix portability issues when compiling (bug 505, 550)
  30 6)  Compile fix for tdbbackup when Samba needs to override
  31     non-C99 compliant implementations of snprintf().
  32 7)  Use @PICSUFFIX@ instead of .po in Makefile.in (bug 574).
  33 8)  Make sure we break out of samsync loop on error.
  34 9)  Ensure error code path doesn't free unmalloc()'d memory
  35     (bug 628).
  36 10) Add configure test for krb5_keytab_entry keyblock vs key
  37     member (bug 636).
  38 11) Fixed spinlocks.
  39 12) Modified testparm so that all output so all debug output goes
  40     to stderr, and all file processing goes to stdout.
  41 13) Fix error return code for BUFFER_TOO_SMALL in smbcacls
  42     and smbcquotas.
  43 14) Fix "NULL dest in safe_strcpy()" log message by ensuring that
  44     we have a devmode before copying a string to the devicename.
  45 15) Support mapping REALM.COM\user to a local user account (without
  46     running winbindd)  for compatibility with 2.2.x release.
  47 16) Ensure we don't use mmap() on blacklisted systems.
  48 17) fixed a number of bugs and memory leaks in the AIX
  49     winbindd shim
  50 18) Call initgroups() in SWAT before becomming the user so that
  51     secondary group permissions can be used when writing to
  52     smb.conf.
  53 19) Fix signing problems when reverse connecting back to a
  54     client for printer notify
  55 20) Fix signing problems caused by a miss-sequence bug.
  56 21) Missing map in errormap for ERROR_MORE_DATA -> ERRDOS, ERRmoredata.
  57     Fixes NEXUS tools running on Win9x clients (bug 64).
  58 22) Don't leave the domain field uninitialized in cli_lsa.c if some
  59     SID could not be mapped.
  60 23) Fix segfault in mount.cifs helper when there is no options
  61     specified during mount.
  62 24) Change the \n after the password prompt to go to tty instead
  63     of stdout (bug 668).
  64 25) Stop net -P from prompting for machine account password (bug 451).
  65 26) Change in behavior to Not only change the effective uid but also
  66     the real uid when becoming unprivileged.
  67 27) Cope with Exchange 5.5 cleartext pop password auth.
  68 28) New files for support of initshutdown pipe.  Win2k doesn't
  69     respond properly to all requests on the winreg pipe, so we need
  70     to handle this new pipe (bug 534).
  71 29) Added more va_copy() checks in configure.in.
  72 30) Include fixes for libsmbclient build problems.
  73 31) Missing UNIX -> DOS codepage conversion in lanman.c.
  74 32) Allow DFMS-S filenames can now have arbitrary case (bug 667).
  75 33) Parameterize the listen backlog in smbd and make it larger by
  76     default. A backlog of 5 is way too small these days.
  77 34) Check for an invalid fid before dereferencing the fsp pointer
  78     (bug 696).
  79 35) Remove invalid memory frees and return codes in pdb_ldap.c.
  80 36) Prompt for password when invoking --set-auth-user and no
  81     password is given.
  82 37) Bind the nmbd sending socket to the 'socket address'.
  83 38) Re-order link command for smbd, rpcclient and smbpasswd to ensure
  84     $LDFLAGS occurs before any library specification (bug 661).
  85 39) Fix large number of printf() calls for 64-bit size_t.
  86 40) Fix AC_CHECK_MEMBER so that SLES8 does correctly finds the
  87     keyblock in the krb5 structs.
  88 41) Remove #include <compat.h> in hopes to avoid problems with
  89     apache header files.
  90 42) COrrect winbindd build problems on HP-UX 11
  91 43) Lowercase netgroups lookups (bug 703).
  92 44) Use the actual size of the buffer in strftime instead of a made
  93     up value which just happens to be less than sizeof(fstring).
  94     (bug 713).
  95 45) Add ldaplibs to pdbedit link line (bug 651).
  96 46) Fix crash bug in smbclient completion (bug 659).
  97 47) Fix packet length for browse list reply (bug 771).
  98 48) Fix coredump in cli_get_backup_list().
  99 49) Make sure that we expand %N (bug 612).
 100 50) Allow rpcclient adddriver command to specify printer driver
 101     version (bug 514).
 102 51) Compile tdbdump by default.
 103 52) Apply patches to fix iconv detection for FreeBSD.
 104 53) Do not allow the 'guest account' to be added to a passdb backend
 105     using smbpasswd or pdbedit (bug 624).
 106 54) Save LDFLAGS during iconv detection (bug 57).
 107 55) Run krb5 logins through the username map if the winbindd
 108     lookup fails (bug 698).
 109 56) Add const for lp_set_name_resolve_order() to avoid compiler warnings
 110     (bug 471).
 111 57) Add support for the %i macro in smb.conf to stand in for the for
 112     the local IP address to which a client connected.
 113 58) Allow winbindd to match local accounts to domain SID when
 114     'winbind trusted domains only = yes' (bug 680).
 115 59) Remove code in idmap_ldap that searches the user suffix and group
 116     suffix.  It's not needed and provides inconsistent functionality
 117     from the tdb backend.
 118 60) Patch to handle munged dial string for Windows 200 TSE.
 119 61) Correct the "smbldap_open: cannot access when not root error"
 120     messages when looking up group information (bug 281).
 121
 122
 123
 124 Changes since 3.0.0
 125 -------------------
 126
 127 Modified parameters
 128   * mangled map (deprecated)
 129
 130 Removed Parameters
 131   * mangled stack (unused)
 132
 133
 134 1)  Change the interface for init_unistr2 to not take a length
 135     but a flags field.  We were assuming that
 136     2*strlen(mb_string) == length of ucs2-le string.  (bug 480).
 137 2)  Allow d_printf() to handle strings with escaped quotation
 138     marks since the msg file includes the escape character (bug 489).
 139 3)  Fix bad html table row termination in SWAT wizard code (bug 413).
 140 4)  Fix to parse the level-2 strings.
 141 5)  Fix for "valid users = %S" in [homes].  Fix read/write
 142     list as well.
 143 6)  Change AC_CHECK_LIB_EXT to prepend libraries instead of append.
 144     This is the same way AC_CHECK_LIB works (bug 508).
 145 7)  Testparm output fixes for clarity.
 146 8)  Fix broken wins hook functionality -- i18n bug (bug 528).
 147 9)  Take care of condition where DOS and NT error codes must differ.
 148 10) Default to using only built-in charsets when a working iconv
 149     implementation cannot be located.
 150 11) Wrap internals of sys_setgroups() so the sys_XX() call can
 151     be done unconditionally (bug 550).
 152 12) Remove duplicate smbspool link on SWAT's front page (bug 541).
 153 13) Save and restore CFLAGS before/after AC_PROG_CC.  Ensures that
 154     --enable-debug=[yes|no] works correctly.
 155 14) Allow ^C to interrupt smbpasswd if using our getpass
 156     (e.g. smbpasswd command).
 157 15) Support signing only on RPC's (bug 167).
 158 16) Correct bug that prevented  Excel 2000 clients from opening
 159     files marked as read-only.
 160 17) Portability fix bugs 546 - 549).
 161 18) Explicitly initialize the value of AR for vendor makes that don't
 162     do this (e.g. HPUX 11).  (bug 552).
 163 19) More i18n fixes for SWAT (bug 413).
 164 20) Change the cwd before the postexec script to ensure that a
 165     umount will succeed.
 166 21) Correct double free that caused winbindd to crash when a DC
 167     is rebooted (bug 437).
 168 22) Fix incorrect mode sum (bug 562).
 169 23) Canonicalize SMB_INFO_ALLOCATION in the same was as
 170     SMB_FS_FULL_SIZE_INFORMATION (bug 564).
 171 24) Add script to generate *msg files.
 172 25) Add Dutch SWAT translation file.
 173 26) Make sure to call get_user_groups() with the full winbindd
 174     name for a user if he/she has one (bug 406).
 175 27) Fix up error code returns from Samba4 tester. Ensure invalid
 176     paths are validated the same way.
 177 28) Allow Samba3 to pass the Samba4 RAW-READ tests.
 178 29) Refuse to configure if --with-expsam=$BACKEND was used but no
 179     libraries were found for $BACKEND.
 180 30) Move sysquotas autoconf tests to a separate file.
 181 31) Match W2K w.r.t. writelock and writeclose.  Samba4 torture
 182     tester
 183 32) Make sure that the files that contain the static_init_$subsystem;
 184     macro get recompiled after configure by removing the object
 185     files.
 186 33) Ensure canceling a blocking lock returns the correct error
 187     message.
 188 34) Match Samba 2.2, and make ACB_NORMAL the default ACB value.
 189
 190
 191
 192 ######################################################################
 193
 194               =======================================
 195               The original 3.0.0 release notes follow
 196               =======================================
 197
 198
 199 Major new features:
 200 -------------------
 201
 202 1)  Active Directory support.  Samba 3.0 is now able to
 203     join a ADS realm as a member server and authenticate
 204     users using LDAP/Kerberos.
 205
 206 2)  Unicode support. Samba will now negotiate UNICODE on the wire
 207     and internally there is now a much better infrastructure for
 208     multi-byte and UNICODE character sets.
 209
 210 3)  New authentication system. The internal authentication system
 211     has been almost completely rewritten. Most of the changes are
 212     internal, but the new auth system is also very configurable.
 213
 214 4)  New default filename mangling system.
 215
 216 5)  A new "net" command has been added. It is somewhat similar to
 217     the "net" command in windows. Eventually we plan to replace
 218     numerous other utilities (such as smbpasswd) with subcommands
 219     in "net".
 220
 221 6)  Samba now negotiates NT-style status32 codes on the wire. This
 222     improves error handling a lot.
 223
 224 7)  Better Windows 2000/XP/2003 printing support including publishing
 225     printer attributes in active directory.
 226
 227 8)  New loadable module support for passdb backends and character
 228     sets.
 229
 230 9)  New default dual-daemon winbindd support for better performance.
 231
 232 10) Support for migrating from a Windows NT 4.0 domain to a Samba
 233     domain and maintaining user, group and domain SIDs.
 234
 235 11) Support for establishing trust relationships with Windows NT 4.0
 236     domain controllers.
 237
 238 12) Initial support for a distributed Winbind architecture using
 239     an LDAP directory for storing SID to uid/gid mappings.
 240
 241 13) Major updates to the Samba documentation tree.
 242
 243 14) Full support for client and server SMB signing to ensure
 244     compatibility with default Windows 2003 security settings.
 245
 246 15) Improvement of ACL mapping features based on code donated by
 247     Andreas Grünbacher.
 248
 249
 250 Plus lots of other improvements!
 251
 252
 253 Additional Documentation
 254 ------------------------
 255
 256 Please refer to Samba documentation tree (included in the docs/
 257 subdirectory) for extensive explanations of installing, configuring
 258 and maintaining Samba 3.0 servers and clients.  It is advised to
 259 begin with the Samba-HOWTO-Collection for overviews and specific
 260 tasks (the current book is up to approximately 400 pages) and to
 261 refer to the various man pages for information on individual options.
 262
 263 We are very glad to be able to include the second edition of
 264 "Using Samba" by Jay Ts, Robert Eckstein, and David Collier-Brown
 265 (O'Reilly & Associates) in this release.  The book is available
 266 on-line at http://samba.org/samba/docs/ and is included with
 267 the Samba Web Administration Tool (SWAT).  Thanks to the authors and
 268 publisher for making "Using Samba" under the GNU Free Documentation
 269 License.
 270
 271
 272 ######################################################################
 273 Upgrading from a previous Samba 3.0 beta
 274 ########################################
 275
 276 Beginning with Samba 3.0.0beta3, the RID allocation functions
 277 have been moved into winbindd.  Previously these were handled
 278 by each passdb backend.  This means that winbindd must be running
 279 to automatically allocate RIDs for users and/or groups.  Otherwise,
 280 smbd will use the 2.2 algorithm for generating new RIDs.
 281
 282 If you are using 'passdb backend = tdbsam' with a previous Samba
 283 3.0 beta release (or possibly alpha), it may be necessary to
 284 move the RID_COUNTER entry from /usr/local/samba/private/passdb.tdb
 285 to winbindd_idmap.tdb.  To do this:
 286
 287 1)  Ensure that winbindd_idmap.tdb exists (launch winbindd at least
 288     once)
 289 2)  build tdbtool by executing 'make tdbtool' in the source/tdb/
 290     directory
 291 3)  run: (note that 'tdb>' is the tool's prompt for input)
 292
 293        root# ./tdbtool /usr/local/samba/private/passdb.tdb
 294        tdb> show RID_COUNTER
 295        key 12 bytes
 296        RID_COUNTER
 297        data 4 bytes
 298        [000] 0A 52 00 00                                       .R.
 299
 300        tdb> move RID_COUNTER /usr/local/samba/var/locks/winbindd_idmap.tdb
 301        ....
 302        record moved
 303
 304 If you are using 'passdb backend = ldapsam', it will be necessary to
 305 store idmap entries in the LDAP directory as well (i.e. idmap backend
 306 = ldap).  Refer to the 'net idmap' command for more information on
 307 migrating SID<->UNIX id mappings from one backend to another.
 308
 309 If the RID_COUNTER record does not exist, then these instructions are
 310 unneccessary and the new RID_COUNTER record will be correctly generated
 311 if needed.
 312
 313
 314
 315 ########################
 316 Upgrading from Samba 2.2
 317 ########################
 318
 319 This section is provided to help administrators understand the details
 320 involved with upgrading a Samba 2.2 server to Samba 3.0.
 321
 322
 323 Building
 324 --------
 325
 326 Many of the options to the GNU autoconf script have been modified
 327 in the 3.0 release.  The most noticeable are:
 328
 329   * removal of --with-tdbsam (is now included by default; see section
 330     on passdb backends and authentication for more details)
 331
 332   * --with-ldapsam is now on used to provided backward compatible
 333     parameters for LDAP enabled Samba 2.2 servers.  Refer to the passdb
 334     backend and authentication section for more details
 335
 336   * inclusion of non-standard passdb modules may be enabled using
 337     --with-expsam.  This includes an XML backend and a mysql backend.
 338
 339   * removal of --with-msdfs (is now enabled by default)
 340
 341   * removal of --with-ssl (no longer supported)
 342
 343   * --with-utmp now defaults to 'yes' on supported systems
 344
 345   * --with-sendfile-support is now enabled by default on supported
 346     systems
 347
 348
 349 Parameters
 350 ----------
 351
 352 This section contains a brief listing of changes to smb.conf options
 353 in the 3.0.0 release.  Please refer to the smb.conf(5) man page for
 354 complete descriptions of new or modified parameters.
 355
 356 Removed Parameters (order alphabetically):
 357
 358   * admin log
 359   * alternate permissions
 360   * character set
 361   * client codepage
 362   * code page directory
 363   * coding system
 364   * domain admin group
 365   * domain guest group
 366   * force unknown acl user
 367   * nt smb support
 368   * postscript
 369   * printer driver
 370   * printer driver file
 371   * printer driver location
 372   * status
 373   * strip dot
 374   * total print jobs
 375   * use rhosts
 376   * valid chars
 377   * vfs options
 378
 379 New Parameters (new parameters have been grouped by function):
 380
 381   Remote management
 382   -----------------
 383   * abort shutdown script
 384   * shutdown script
 385
 386   User and Group Account Management
 387   ---------------------------------
 388   * add group script
 389   * add machine script
 390   * add user to group script
 391   * algorithmic rid base
 392   * delete group script
 393   * delete user from group script
 394   * passdb backend
 395   * set primary group script
 396
 397   Authentication
 398   --------------
 399   * auth methods
 400   * realm
 401
 402   Protocol Options
 403   ----------------
 404   * client lanman auth
 405   * client NTLMv2 auth
 406   * client schannel
 407   * client signing
 408   * client use spnego
 409   * disable netbios
 410   * ntlm auth
 411   * paranoid server security
 412   * server schannel
 413   * server signing
 414   * smb ports
 415   * use spnego
 416
 417   File Service
 418   ------------
 419   * get quota command
 420   * hide special files
 421   * hide unwriteable files
 422   * hostname lookups
 423   * kernel change notify
 424   * mangle prefix
 425   * map acl inherit
 426   * msdfs proxy
 427   * set quota command
 428   * use sendfile
 429   * vfs objects
 430
 431   Printing
 432   --------
 433   * max reported print jobs
 434
 435   UNICODE and Character Sets
 436   --------------------------
 437   * display charset
 438   * dos charset
 439   * unicode
 440   * unix charset
 441
 442   SID to uid/gid Mappings
 443   -----------------------
 444   * idmap backend
 445   * idmap gid
 446   * idmap uid
 447   * winbind enable local accounts
 448   * winbind trusted domains only
 449   * template primary group
 450   * enable rid algorithm
 451
 452   LDAP
 453   ----
 454   * ldap delete dn
 455   * ldap group suffix
 456   * ldap idmap suffix
 457   * ldap machine suffix
 458   * ldap passwd sync
 459   * ldap user suffix
 460
 461   General Configuration
 462   ---------------------
 463   * preload modules
 464   * private dir
 465
 466 Modified Parameters (changes in behavior):
 467
 468   * encrypt passwords (enabled by default)
 469   * mangling method (set to 'hash2' by default)
 470   * passwd chat
 471   * passwd program
 472   * restrict anonymous (integer value)
 473   * security (new 'ads' value)
 474   * strict locking (enabled by default)
 475   * unix extensions (enabled by default)
 476   * winbind cache time (increased to 5 minutes)
 477   * winbind uid (deprecated in favor of 'idmap uid')
 478   * winbind gid (deprecated in favor of 'idmap gid')
 479
 480
 481 Databases
 482 ---------
 483
 484 This section contains brief descriptions of any new databases
 485 introduced in Samba 3.0.  Please remember to backup your existing
 486 ${lock directory}/*tdb before upgrading to Samba 3.0.  Samba will
 487 upgrade databases as they are opened (if necessary), but downgrading
 488 from 3.0 to 2.2 is an unsupported path.
 489
 490 Name                    Description                             Backup?
 491 ----                    -----------                             -------
 492 account_policy          User policy settings                    yes
 493 gencache                Generic caching db                      no
 494 group_mapping           Mapping table from Windows              yes
 495                         groups/SID to unix groups
 496 winbindd_idmap          ID map table from SIDS to UNIX          yes
 497                         uids/gids.
 498 namecache               Name resolution cache entries           no
 499 netsamlogon_cache       Cache of NET_USER_INFO_3 structure      no
 500                         returned as part of a successful
 501                         net_sam_logon request
 502 printing/*.tdb          Cached output from 'lpq                 no
 503                         command' created on a per print
 504                         service basis
 505 registry                Read-only samba registry skeleton       no
 506                         that provides support for exporting
 507                         various db tables via the winreg RPCs
 508
 509
 510 Changes in Behavior
 511 -------------------
 512
 513 The following issues are known changes in behavior between Samba 2.2 and
 514 Samba 3.0 that may affect certain installations of Samba.
 515
 516   1)  When operating as a member of a Windows domain, Samba 2.2 would
 517       map any users authenticated by the remote DC to the 'guest account'
 518       if a uid could not be obtained via the getpwnam() call.  Samba 3.0
 519       rejects the connection as NT_STATUS_LOGON_FAILURE.  There is no
 520       current work around to re-establish the 2.2 behavior.
 521
 522   2)  When adding machines to a Samba 2.2 controlled domain, the
 523       'add user script' was used to create the UNIX identity of the
 524       machine trust account.  Samba 3.0 introduces a new 'add machine
 525       script' that must be specified for this purpose.  Samba 3.0 will
 526       not fall back to using the 'add user script' in the absence of
 527       an 'add machine script'
 528
 529
 530 ######################################################################
 531 Passdb Backends and Authentication
 532 ##################################
 533
 534 There have been a few new changes that Samba administrators should be
 535 aware of when moving to Samba 3.0.
 536
 537   1) encrypted passwords have been enabled by default in order to
 538      inter-operate better with out-of-the-box Windows client
 539      installations.  This does mean that either (a) a samba account
 540      must be created for each user, or (b) 'encrypt passwords = no'
 541      must be explicitly defined in smb.conf.
 542
 543   2) Inclusion of new 'security = ads' option for integration
 544      with an Active Directory domain using the native Windows
 545      Kerberos 5 and LDAP protocols.
 546
 547      MIT kerberos 1.3.1 supports the ARCFOUR-HMAC-MD5 encryption
 548      type which is neccessary for servers on which the
 549      administrator password has not been changed, or kerberos-enabled
 550      SMB connections to servers that require Kerberos SMB signing.
 551      Besides this one difference, either MIT or Heimdal Kerberos
 552      distributions are usable by Samba 3.0.
 553
 554
 555 Samba 3.0 also includes the possibility of setting up chains
 556 of authentication methods (auth methods) and account storage
 557 backends (passdb backend).  Please refer to the smb.conf(5)
 558 man page for details.  While both parameters assume sane default
 559 values, it is likely that you will need to understand what the
 560 values actually mean in order to ensure Samba operates correctly.
 561
 562 The recommended passdb backends at this time are
 563
 564   * smbpasswd - 2.2 compatible flat file format
 565   * tdbsam - attribute rich database intended as an smbpasswd
 566     replacement for stand alone servers
 567   * ldapsam - attribute rich account storage and retrieval
 568     backend utilizing an LDAP directory.
 569   * ldapsam_compat - a 2.2 backward compatible LDAP account
 570     backend
 571
 572 Certain functions of the smbpasswd(8) tool have been split between the
 573 new smbpasswd(8) utility, the net(8) tool, and the new pdbedit(8)
 574 utility.  See the respective man pages for details.
 575
 576
 577 ######################################################################
 578 LDAP
 579 ####
 580
 581 This section outlines the new features affecting Samba / LDAP
 582 integration.
 583
 584 New Schema
 585 ----------
 586
 587 A new object class (sambaSamAccount) has been introduced to replace
 588 the old sambaAccount.  This change aids us in the renaming of attributes
 589 to prevent clashes with attributes from other vendors.  There is a
 590 conversion script (examples/LDAP/convertSambaAccount) to modify and LDIF
 591 file to the new schema.
 592
 593 Example:
 594
 595         $ ldapsearch .... -b "ou=people,dc=..." > old.ldif
 596         $ convertSambaAccount <DOM SID> old.ldif new.ldif
 597
 598 The <DOM SID> can be obtained by running 'net getlocalsid <DOMAINNAME>'
 599 on the Samba PDC as root.
 600
 601 The old sambaAccount schema may still be used by specifying the
 602 "ldapsam_compat" passdb backend.  However, the sambaAccount and
 603 associated attributes have been moved to the historical section of
 604 the schema file and must be uncommented before use if needed.
 605 The 2.2 object class declaration for a sambaAccount has not changed
 606 in the 3.0 samba.schema file.
 607
 608 Other new object classes and their uses include:
 609
 610   * sambaDomain - domain information used to allocate rids
 611     for users and groups as necessary.  The attributes are added
 612     in 'ldap suffix' directory entry automatically if
 613     an idmap uid/gid range has been set and the 'ldapsam'
 614     passdb backend has been selected.
 615
 616   * sambaGroupMapping - an object representing the
 617     relationship between a posixGroup and a Windows
 618     group/SID.  These entries are stored in the 'ldap
 619     group suffix' and managed by the 'net groupmap' command.
 620
 621   * sambaUnixIdPool - created in the 'ldap idmap suffix' entry
 622     automatically and contains the next available 'idmap uid' and
 623     'idmap gid'
 624
 625   * sambaIdmapEntry - object storing a mapping between a
 626     SID and a UNIX uid/gid.  These objects are created by the
 627     idmap_ldap module as needed.
 628
 629   * sambaSidEntry - object representing a SID alone, as a Structural
 630     class on which to build the sambaIdmapEntry.
 631
 632
 633 New Suffix for Searching
 634 ------------------------
 635
 636 The following new smb.conf parameters have been added to aid in directing
 637 certain LDAP queries when 'passdb backend = ldapsam://...' has been
 638 specified.
 639
 640   * ldap suffix         - used to search for user and computer accounts
 641   * ldap user suffix    - used to store user accounts
 642   * ldap machine suffix - used to store machine trust accounts
 643   * ldap group suffix   - location of posixGroup/sambaGroupMapping entries
 644   * ldap idmap suffix   - location of sambaIdmapEntry objects
 645
 646 If an 'ldap suffix' is defined, it will be appended to all of the
 647 remaining sub-suffix parameters.  In this case, the order of the suffix
 648 listings in smb.conf is important.  Always place the 'ldap suffix' first
 649 in the list.
 650
 651 Due to a limitation in Samba's smb.conf parsing, you should not surround
 652 the DN's with quotation marks.
 653
 654
 655 IdMap LDAP support
 656 ------------------
 657
 658 Samba 3.0 supports an ldap backend for the idmap subsystem.  The
 659 following options would inform Samba that the idmap table should be
 660 stored on the directory server onterose in the "ou=idmap,dc=plainjoe,
 661 dc=org" partition.
 662
 663  [global]
 664     ...
 665     idmap backend     = ldap:ldap://onterose/
 666     ldap idmap suffix = ou=idmap,dc=plainjoe,dc=org
 667     idmap uid         = 40000-50000
 668     idmap gid         = 40000-50000
 669
 670 This configuration allows winbind installations on multiple servers to
 671 share a uid/gid number space, thus avoiding the interoperability problems
 672 with NFS that were present in Samba 2.2.
 673
 674
 675
 676 ######################################################################
 677 Trust Relationships and a Samba Domain
 678 ######################################
 679
 680 Samba 3.0.0beta2 is able to utilize winbindd as the means of
 681 allocating uids and gids to trusted users and groups.  More
 682 information regarding Samba's support for establishing trust
 683 relationships can be found in the Samba-HOWTO-Collection included
 684 in the docs/ directory of this release.
 685
 686 First create your Samba PDC and ensure that everything is
 687 working correctly before moving on the trusts.
 688
 689 To establish Samba as the trusting domain (named SAMBA) from a Windows NT
 690 4.0 domain named WINDOWS:
 691
 692   1) create the trust account for SAMBA in "User Manager for Domains"
 693   2) connect the trust from the Samba domain using
 694      'net rpc trustdom establish GLASS'
 695
 696 To create a trustlationship with SAMBA as the trusted domain:
 697
 698   1) create the initial trust account for GLASS using
 699      'smbpasswd -a -i GLASS'.  You may need to create a UNIX
 700      account for GLASS$ prior to this step (depending on your
 701      local configuration).
 702   2) connect the trust from a WINDOWS DC using "User Manager
 703      for Domains"
 704
 705 Now join winbindd on the Samba PDC to the SAMBA domain using
 706 the normal steps for adding a Samba server to an NT4 domain:
 707 (note that smbd & nmbd must be running at this point)
 708
 709    root# net rpc join -U root
 710    Password: <enter root password from smbpasswd file here>
 711
 712 Start winbindd and test the join with 'wbinfo -t'.
 713
 714 Now test the trust relationship by connecting to the SAMBA DC
 715 (e.g. POGO) as a user from the WINDOWS domain:
 716
 717    $ smbclient //pogo/netlogon -U Administrator -W WINDOWS
 718    Password:
 719
 720 Now connect to the WINDOWS DC (e.g. CRYSTAL) as a Samba user:
 721
 722    $ smbclient //crystal/netlogon -U root -W WINDOWS
 723    Password:
 724
 725 ######################################################################
 726 Changes in Winbind
 727 ##################
 728
 729 Beginning with Samba3.0.0beta3, winbindd has been given new account
 730 manage functionality equivalent to the 'add user script' family of
 731 smb.conf parameters.  The idmap design has also been changed to
 732 centralize control of foreign SID lookups and matching to UNIX
 733 uids and gids.
 734
 735
 736 Brief Description of Changes
 737 ----------------------------
 738
 739 1) The sid_to_uid() family of functions (smbd/uid.c) have been
 740    reverted to the 2.2.x design.  This means that when resolving a
 741    SID to a UID or similar mapping:
 742
 743         a) First consult winbindd
 744         b) perform a local lookup only if winbindd fails to
 745            return a successful answer
 746
 747    There are some variations to this, but these two rules generally
 748    apply.
 749
 750 2) All idmap lookups have been moved into winbindd.  This means that
 751    a server must run winbindd (and support NSS) in order to achieve
 752    any mappings of SID to dynamically allocated UNIX ids.  This was
 753    a conscious design choice.
 754
 755 3) New functions have been added to winbindd to emulate the 'add user
 756    script' family of smbd functions without requiring that external
 757    scripts be defined.  This functionality is controlled by the 'winbind
 758    enable local accounts' smb.conf parameter (enabled by default).
 759
 760    However, this account management functionality is only supported
 761    in a local tdb (winbindd_idmap.tdb).  If these new UNIX accounts
 762    must be shared among multiple Samba servers (such as a PDC and BDCs),
 763    it will be necessary to define your own 'add user script', et. al.
 764    programs that place the accounts/groups in some form of directory
 765    such as NIS or LDAP.  This requirement was deemed beyond the scope
 766    of winbind's account management functions.  Solutions for
 767    distributing UNIX system information have been deployed and tested
 768    for many years.  We saw no need to reinvent the wheel.
 769
 770 4) A member of a Samba controlled domain running winbindd is now able
 771    to map domain users directly onto existing UNIX accounts while still
 772    automatically creating accounts for trusted users and groups.  This
 773    behavior is controlled by the 'winbind trusted domains only' smb.conf
 774    parameter (disabled by default to provide 2.2.x winbind behavior).
 775
 776 5) Group mapping support is wrapped in the local_XX_to_XX() functions
 777    in smbd/uid.c.  The reason that group mappings are not included
 778    in winbindd is because the purpose of Samba's group map is to
 779    match any Windows SID with an existing UNIX group.  These UNIX
 780    groups can be created by winbindd (see next section), but the
 781    SID<->gid mapping is retreived by smbd, not winbindd.
 782
 783
 784 Examples
 785 --------
 786
 787 * security = server running winbindd to allocate accounts on demand
 788
 789 * Samba PDC running winbindd to handle the automatic creation of UNIX
 790   identities for machine trust accounts
 791
 792 * Automtically creating UNIX user and groups when migrating a Windows NT
 793   4.0 PDC to a Samba PDC.  Winbindd must be running when executing
 794   'net rpc vampire' for this to work.
 795
 796
 797 ######################################################################
 798 Known Issues
 799 ############
 800
 801 * There are several bugs currently logged against the 3.0 codebase
 802   that affect the use of NT 4.0 GUI domain management tools when run
 803   against a Samba 3.0 PDC.  This bugs should be released in an early
 804   3.0.x release.
 805
 806 Please refer to https://bugzilla.samba.org/ for a current list of bugs
 807 filed against the Samba 3.0 codebase.
 808
 809
 810 ######################################################################
 811 Reporting bugs & Development Discussion
 812 #######################################
 813
 814 Please discuss this release on the samba-technical mailing list or by
 815 joining the #samba-technical IRC channel on irc.freenode.net.
 816
 817 If you do report problems then please try to send high quality
 818 feedback. If you don't provide vital information to help us track down
 819 the problem then you will probably be ignored.
 820
 821 A new bugzilla installation has been established to help support the
 822 Samba 3.0 community of users.  This server, located at
 823 https://bugzilla.samba.org/, has replaced the older jitterbug server
 824 previously located at http://bugs.samba.org/.
 825