Distribution EOLE

Après lecture des release notes Samba 4.23 et 4.24 et comparaison avec les templates smb.conf dc1,dc2 et dc3, aucune adaptation obligatoire n’a été identifiée pour le passage à Samba 4.23.
Pour Samba 4.24, aucune incompatibilité directe n’a été identifiée, mais plusieurs nouveaux paramètres KDC/sécurité apparaissent.
Les défauts restent compatibles CEPENDANT un choix est à faire si on souhaite forcer les recommandations Samba 4.24, notamment ```kdc require canonicalization = yes.```
Point de vigilance : Samba 4.23 active smb3 unix extensions par défaut. Aucun changement requis pour les DC purs, mais un test rapide serait pertinent sur les partages fichiers homes/profiles exposés par DC3.

impact 4.23

Samba 4.24 introduit plusieurs paramètres KDC/PKINIT/certificats :

strong certificate binding enforcement = full
certificate backdating compensation = 0
kdc always include pac = yes
kdc require canonicalization = no
kdc name match implicit dollar without canonicalization = yes

Il change aussi la valeur par défaut de :

kdc default domain supported enctypes

qui passe vers les types AES par défaut si le niveau fonctionnel du domaine le permet.

Dans notre cas, le domaine est en niveau fonctionnel 2008 R2 d’après dc1, un changement peut être pertinent, et provoquerait un changement de comportement Kerberos/chiffrement.

Samba recommande notamment :

strong certificate binding enforcement = full
kdc always include pac = yes
kdc require canonicalization = yes

Mais kdc require canonicalization reste à no par défaut pour compatibilité, et ubuntu 26 passe en samba 23 candidate.

Donc à décider. (pour aide cf : https://www.samba.org/samba/history/samba-4.24.0.html)

Bonjour Ludwig

Je suis d'accord avec tes commentaires.
Nous devons chercher à fournir un module Seth 2.11 le plus à jour possible avec les recommandations.

Il n'y a que le "kdc default domain supported enctypes" qui pourrait être sensible...

Donc, tu as mon Go.