WHATSNEW.txt

   1 Release Announcements
   2 =====================
   3
   4 This is the second release candidate of Samba 4.11.  This is *not*
   5 intended for production environments and is designed for testing
   6 purposes only.  Please report any defects via the Samba bug reporting
   7 system at https://bugzilla.samba.org/.
   8
   9 Samba 4.11 will be the next version of the Samba suite.
  10
  11
  12 UPGRADING
  13 =========
  14
  15 AD Database compatibility
  16 -------------------------
  17
  18 Samba 4.11 has changed how the AD database is stored on disk. AD users should
  19 not really be affected by this change when upgrading to 4.11. However, AD
  20 users should be extremely careful if they need to downgrade from Samba 4.11 to
  21 an older release.
  22
  23 Samba 4.11 maintains database compatibility with older Samba releases. The
  24 database will automatically get rewritten in the new 4.11 format when you
  25 first start the upgraded samba executable.
  26
  27 However, when downgrading from 4.11 you will need to manually downgrade the AD
  28 database yourself. Note that you will need to do this step before you install
  29 the downgraded Samba packages. For more details, see:
  30 https://wiki.samba.org/index.php/Downgrading_an_Active_Directory_DC
  31
  32 When either upgrading or downgrading, users should also avoid making any
  33 database modifications between installing the new Samba packages and starting
  34 the samba executable.
  35
  36 Note that when moving between major Samba releases in general, we recommend
  37 that the AD DC is rejoined to the domain. Using this approach avoids the need
  38 to explicitly downgrade the database manually. For more details, see:
  39 https://wiki.samba.org/index.php/Upgrading_a_Samba_AD_DC
  40
  41 SMB1 is disabled by default
  42 ---------------------------
  43
  44 The defaults of 'client min protocol' and 'server min protocol'
  45 have been changed to SMB2_02.
  46
  47 This means clients without support for SMB2 or SMB3 are no longer
  48 able to connect to smbd (by default).
  49
  50 It also means client tools like smbclient and other,
  51 as well as applications making use of libsmbclient are no longer
  52 able to connect to servers without SMB2 or SMB3 support (by default).
  53
  54 It's still possible to allow SMB1 dialects, e.g. NT1, LANMAN2
  55 and LANMAN1 for client and server, as well as CORE and COREPLUS on
  56 the client.
  57
  58 Note that most commandline tools e.g. smbclient, smbcacls and others
  59 also support the '--option' argument to overwrite smb.conf options,
  60 e.g. --option='client min protocol=NT1' might be useful.
  61
  62 As Microsoft no longer installs SMB1 support in recent releases
  63 or uninstalls it after 30 days without usage, the Samba Team
  64 tries to get remove the SMB1 usage as much as possible.
  65
  66 SMB1 is officially deprecated and might be removed step by step
  67 in the following years. If you have a strong requirement for SMB1
  68 (except for supporting old Linux Kernels), please file a bug
  69 at https://bugzilla.samba.org and let us know about the details.
  70
  71 NEW FEATURES/CHANGES
  72 ====================
  73
  74 Default samba process model
  75 ---------------------------
  76
  77 The default for the '--model' argument passed to the samba executable has changed
  78 from 'standard' to 'prefork'. This means a difference in the number of samba
  79 child processes that are created to handle client connections. The previous
  80 default would create a separate process for every LDAP or NETLOGON client
  81 connection. For a network with a lot of persistent client connections, this
  82 could result in significant memory overhead.  Now, with the new default of
  83 'prefork', the LDAP, NETLOGON, and KDC services will create a fixed number of
  84 worker processes at startup and share the client connections amongst these
  85 workers. The number of worker processes can be configured by the 'prefork
  86 children' setting in the smb.conf (the default is 4).
  87
  88 Authentication Logging
  89 ----------------------
  90
  91 Winbind now logs PAM_AUTH and NTLM_AUTH events, a new attribute "logonId" has
  92 been added to the Authentication JSON log messages.  This contains a random
  93 logon id that is generated for each PAM_AUTH and NTLM_AUTH request and is passed
  94 to SamLogon, linking the windbind and SamLogon requests.
  95
  96 The serviceDescription of the messages is set to "winbind", the authDescription
  97 is set to one of:
  98    "PASSDB, <command>, <pid>"
  99    "PAM_AUTH, <command>, <pid>"
 100    "NTLM_AUTH, <command>, <pid>"
 101 where:
 102    <command> is the name of the command makinmg the winbind request i.e. wbinfo
 103    <pid>     is the process id of the requesting process.
 104
 105 The version of the JSON Authentication messages has been changed from 1.1 to
 106 1.2.
 107
 108 LDAP referrals
 109 --------------
 110
 111 The scheme of returned LDAP referrals now reflects the scheme of the original
 112 request, i.e. referrals received via ldap are prefixed with "ldap://"
 113 and those over ldaps are prefixed with "ldaps://".
 114
 115 Previously all referrals were prefixed with "ldap://".
 116
 117 Bind9 logging
 118 -------------
 119
 120 It is now possible to log the duration of DNS operations performed by Bind9.
 121 This should aid future diagnosis of performance issues and could be used to
 122 monitor DNS performance. The logging is enabled by setting log level to
 123 "dns:10" in smb.conf.
 124
 125 The logs are currently human readable text only, i.e. no JSON formatted output.
 126
 127 Log lines are of the form:
 128
 129     <function>: DNS timing: result: [<result>] duration: (<duration>)
 130     zone: [<zone>] name: [<name>] data: [<data>]
 131
 132     durations are in microseconds.
 133
 134 Default schema updated to 2012_R2
 135 ---------------------------------
 136
 137 Default AD schema changed from 2008_R2 to 2012_R2.  2012_R2 functional level
 138 is not yet available.  Older schemas can be used by provisioning with the
 139 '--base-schema' argument.  Existing installations can be updated with the
 140 samba-tool command "domain schemaupgrade".
 141
 142 Samba's replication code has also been improved to handle replication
 143 with the 2012 schema (the core of this replication fix has also been
 144 backported to 4.9.11 and will be in a 4.10.x release).
 145
 146 For more about how the AD schema relates to overall Windows compatibility,
 147 please read:
 148 https://wiki.samba.org/index.php/Windows_2012_Server_compatibility
 149
 150 GnuTLS 3.2 required
 151 -------------------
 152
 153 Samba is making efforts to remove in-tree cryptographic functionality,
 154 and to instead rely on externally maintained libraries.  To this end,
 155 Samba has chosen GnuTLS as our standard cryptographic provider.
 156
 157 Samba now requires GnuTLS 3.2 to be installed (including development
 158 headers at build time) for all configurations, not just the Samba AD
 159 DC.
 160
 161 NOTE WELL: The use of GnuTLS means that Samba will honour the
 162 system-wide 'FIPS mode' (a reference to the US FIPS-140 cryptographic
 163 standard) and so will not operate in many still common situations if
 164 this system-wide parameter is in effect, as many of our protocols rely
 165 on outdated cryptography.
 166
 167 A future Samba version will mitigate this to some extent where good
 168 cryptography effectively wraps bad cryptography, but for now that above
 169 applies.
 170
 171 samba-tool improvements
 172 -----------------------
 173
 174 A new "samba-tool contact" command has been added to allow the
 175 command-line manipulation of contacts, as used for address book
 176 lookups in LDAP.
 177
 178 The "samba-tool [user|group|computer|group|contact] edit" command has been
 179 improved to operate more pleasantly on international character sets.
 180
 181 100,000 USER and LARGER Samba AD DOMAINS
 182 ========================================
 183
 184 Extensive efforts have been made to optimise Samba for use in
 185 organisations (for example) targeting 100,000 users, plus 120,000
 186 computer objects, as well as large number of group memberships.
 187
 188 Many of the specific efforts are detailed below, but the net results
 189 is to remove barriers to significantly larger Samba deployments
 190 compared to previous releases.
 191
 192 Reindex performance improvements
 193 --------------------------------
 194
 195 The performance of samba-tool dbcheck --reindex has been improved,
 196 especially for large domains.
 197
 198 join performance improvements
 199 -----------------------------
 200
 201 The performance of samba-tool domain join has been improved,
 202 especially for large domains.
 203
 204 LDAP Server memory improvements
 205 -------------------------------
 206
 207 The LDAP server has improved memory efficiency, ensuring that large
 208 LDAP responses (for example a search for all objects) is not copied
 209 multiple times into memory.
 210
 211 Setting lmdb map size
 212 ---------------------
 213
 214 It is now possible to set the lmdb map size (the maximum permitted
 215 size for the database).  "samba-tool" now accepts the
 216 "--backend-store-size" i.e. --backend-store-size=4Gb.  If not
 217 specified it defaults to 8Gb.
 218
 219 This option is avaiable for the following sub commands:
 220  * domain provision
 221  * domain join
 222  * domain dcpromo
 223  * drs clone-dc-database
 224
 225 LDB "batch_mode"
 226 ----------------
 227
 228 To improve performance during batch operations i.e. joins, ldb now
 229 accepts a "batch_mode" option.  However to prevent any index or
 230 database inconsistencies if an operation fails, the entire transaction
 231 will be aborted at commit.
 232
 233 New LDB pack format
 234 -------------------
 235
 236 On first use (startup of 'samba' or the first transaction write)
 237 Samba's sam.ldb will be updated to a new more efficient pack format.
 238 This will take a few moments.
 239
 240 New LDB <= and >= index mode to improve replication performance
 241 ---------------------------------------------------------------
 242
 243 As well as a new pack format, Samba's sam.ldb uses a new index format
 244 allowing Samba to efficiently select objects changed since the last
 245 replication cycle.  This in turn improves performance during
 246 replication of large domains.
 247
 248 https://wiki.samba.org/index.php/LDB_Greater_than_and_Less_than_indexing
 249
 250 Improvements to ldb search performance
 251 --------------------------------------
 252
 253 Search performance on large LDB databases has been improved by
 254 reducing memory allocations made on each object.
 255
 256 Improvements to subtree rename performance
 257 ------------------------------------------
 258
 259 Improvements have been made to Samba's handling of subtree renames,
 260 for example of containers and organisational units, however large
 261 renames are still not recommended.
 262
 263 CTDB changes
 264 ============
 265
 266 * nfs-linux-kernel-callout now defaults to using systemd service names
 267
 268   The Red Hat service names continue to be the default.
 269
 270   Other distributions should patch this file when packaging it.
 271
 272 * The onnode -o option has been removed
 273
 274 * ctdbd logs when it is using more than 90% of a CPU thread
 275
 276   ctdbd is single threaded, so can become saturated if it uses the
 277   full capacity of a CPU thread.  To help detect this situation, ctdbd
 278   now logs messages when CPU utilisation exceeds 90%.  Each change in
 279   CPU utilisation over 90% is logged.  A message is also logged when
 280   CPU utilisation drops below the 90% threshold.
 281
 282 * Script configuration variable CTDB_MONITOR_SWAP_USAGE has been removed
 283
 284   05.system.script now monitors total memory (i.e. physical memory +
 285   swap) utilisation using the existing CTDB_MONITOR_MEMORY_USAGE
 286   script configuration variable.
 287
 288 CephFS Snapshot Integration
 289 ---------------------------
 290
 291 CephFS snapshots can now be exposed as previous file versions using the new
 292 ceph_snapshots VFS module. See the vfs_ceph_snapshots(8) man page for details.
 293
 294
 295 REMOVED FEATURES
 296 ================
 297
 298 Web server
 299 ----------
 300
 301 As a leftover from work related to the Samba Web Administration Tool (SWAT),
 302 Samba still supported a Python WSGI web server (which could still be turned on
 303 from the 'server services' smb.conf parameter). This service was unused and has
 304 now been removed from Samba.
 305
 306 samba-tool join subdomain
 307 -------------------------
 308
 309 The subdomain role has been removed from the join command.  This option did
 310 not work and has no tests.
 311
 312 Python2 support
 313 ---------------
 314
 315 Samba 4.11 will not have any runtime support for Python 2.
 316
 317 If you are building Samba using the '--disable-python' option
 318 (i.e. you're excluding all the run-time Python support), then this
 319 will continue to work on a system that supports either python2 or
 320 python3.
 321
 322 To build Samba with python2 you *must* set the 'PYTHON' environment
 323 variable for both the 'configure' and 'make' steps, i.e.
 324    'PYTHON=python2 ./configure'
 325    'PYTHON=python2 make'
 326 This will override the python3 default.
 327
 328 Except for this specific build-time use of python2, Samba now requires
 329 Python 3.4 as a minimum.
 330
 331 smb.conf changes
 332 ================
 333
 334   Parameter Name                     Description                Default
 335   --------------                     -----------                -------
 336
 337   allocation roundup size            Default changed/           0
 338                                      Deprecated
 339   client min protocol                Changed default            SMB2_02
 340   server min protocol                Changed default            SMB2_02
 341   mangled names                      Changed default            illegal
 342   web port                           Removed
 343   fruit:zero_file_id                 Changed default            False
 344   debug encryption                   New: dump encryption keys  False
 345
 346
 347 KNOWN ISSUES
 348 ============
 349
 350 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.11#Release_blocking_bugs
 351
 352
 353 #######################################
 354 Reporting bugs & Development Discussion
 355 #######################################
 356
 357 Please discuss this release on the samba-technical mailing list or by
 358 joining the #samba-technical IRC channel on irc.freenode.net.
 359
 360 If you do report problems then please try to send high quality
 361 feedback. If you don't provide vital information to help us track down
 362 the problem then you will probably be ignored.  All bug reports should
 363 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 364 database (https://bugzilla.samba.org/).
 365
 366
 367 ======================================================================
 368 == Our Code, Our Bugs, Our Responsibility.
 369 == The Samba Team
 370 ======================================================================
 371