Einfach erklärt

Samba erscheint zweimal im Jahr in einer neuen Version, im März und im September.
Unterstützt werden immer nur die letzten drei Versionen: eine aktuelle, eine in Wartung, eine nur noch mit Sicherheitsupdates.
Distributionen wie Debian bleiben bei einer Version und patchen selbst. Deshalb ist die Samba-Version auf einem Server oft älter als die aktuelle.

Versionen

Version	erschienen	Stand Oktober 2026
4.25	September 2026	aktuell
4.24	März 2026	Wartung
4.23	September 2025	nur Sicherheitsupdates
4.22	März 2025	upstream eingestellt, in Debian 13 weiter vom Debian-Security-Team gepflegt
4.17	September 2022	in Debian 12

samba-tool dsacl delete entfernt Einträge aus Verzeichnis-ACLs.
samba-tool zeigt bei typischen Fehlern eine kurze Meldung statt eines Python-Tracebacks. Alles sehen mit -d3.

Functional Level 2012 bis 2016 teilweise möglich, nur wenn in der smb.conf aller DCs steht: ad dc functional level = 2016
Passwortänderungen über unverschlüsseltes LDAP werden abgelehnt.
Kerberos FAST für Windows-Clients, Authentication Policies und Silos werden gelesen, Claims stehen im PAC.
Der KDC schreibt ein JSON-Audit der ausgestellten Tickets. Interessant für das SIEM.
LDAP-Zertifikate ohne Neustart neu laden: smbcontrol ldap_server reload-certs

Authentication Policies, Silos und Claims mit Functional Level 2016.
Erste Unterstützung für Group Managed Service Accounts (gMSA): samba-tool user getpassword, samba-tool user get-kerberos-ticket

gMSA vollständig. Dafür braucht die Domäne einen KDS-Root-Key: samba-tool domain kds root_key create und list. Neue Domänen bekommen ihn beim Provision, aktualisierte müssen ihn anlegen.
LDAP-Anmeldung per Kerberos und NTLM über ldaps und StartTLS mit Channel Binding.
ldap server require strong auth = yes wird empfohlen, allow_sasl_over_tls ist veraltet.
Functional Level 2012R2 möglich.
Keytabs neu geregelt: net ads keytab add, delete und add_update_ads gibt es nicht mehr. Stattdessen beschreibt man in der smb.conf mit sync machine password to keytab, welche Keytabs mit welchen Principals entstehen sollen, und erzeugt sie mit net ads keytab create. winbind schreibt sie bei jedem Wechsel des Maschinenpassworts automatisch neu. SPNs im AD trägt man mit net ads setspn add ein. Beispiele: Kerberos für Dienste, Squid mit Kerberos.

4.23: samba-tool domain backup --no-secrets entfernt jetzt auch KDS-Schlüssel und BitLocker-Daten aus der Sicherung.
4.24: Standard ist AES-only für Kerberos (kdc default domain supported enctypes), starke Zertifikatsbindung nach KB5014754 (strong certificate binding enforcement = full), Windows Hello for Business Key Trust, Audit von Änderungen an SPN und KeyCredentialLink.
4.25: vor allem Fehlerbehebungen am internen DNS.

Die Teile für den DC stecken im eigenen Paket samba-ad-dc.
Das Paket ntp gibt es nicht mehr. Für den DC nimmt man chrony mit signierter Zeit (ntpsigndsocket).
Die Units liegen unter /usr/lib/systemd/system, /lib ist nur noch ein Link.

Neue Domänen starten weiterhin mit Functional Level 2008R2. Für 2016: beim Provision --option="ad dc functional level = 2016" --function-level=2016
Windows Server 2022 legt Domänen mit Level 2016 an. Soll Samba einer solchen Domäne als DC beitreten, braucht es die Option ebenfalls.
Programme, die sich per einfachem LDAP ohne Verschlüsselung anmelden, scheitern mit Strong(er) authentication required. Lösung: ldaps oder StartTLS, nicht die Sicherheit abschalten.