Как настроить pam для монтирования только с аутентификацией winbind

Я пытаюсь настроить pam со следующими запросами:

• Вы можете войти с локальной учетной записью (root, локальные пользователи)
• Вы можете войти в систему с учетными записями AD, и если вы это сделаете, pam mount home share
• Вы можете войти в систему с учетной записью AD через учетные данные кеша (ccreds), если AD недоступен, и если вы это сделаете, pam не пытается монтировать домашний ресурс

Пока мне почти удается настроить pam таким образом, но когда я вхожу в учетную запись AD, когда она недоступна, pam пытается смонтировать домашний ресурс, который также недоступен.

Я думаю, что понял, как работают файлы конфигурации pam, и я протестировал много разных вещей, поэтому, если эксперт по pam захочет помочь, я буду очень благодарен

Вот файлы конфигурации pam:

/etc/pam.d/common-auth

# here are the per-package modules (the "Primary" block)
auth    [success=4 default=ignore]      pam_unix.so nullok_secure
auth    [success=2 default=ignore]      pam_winbind.so krb5_auth         krb5_ccache_type=FILE cached_login try_first_pass
auth    [success=2 default=ignore]      pam_ccreds.so minimum_uid=1000 action=validate use_first_pass
#               auth    [success=2 default=ignore]              pam_ccreds.so minimum_uid=1000 action=update
# here's the fallback if no module succeeds
auth    requisite                       pam_deny.so
auth    optional                        pam_mount.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
auth    required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
auth    optional                        pam_ccreds.so minimum_uid=1000 action=store
# end of pam-auth-update config

/etc/pam.d/common-session

# here are the per-package modules (the "Primary" block)
session [default=1]                     pam_permit.so
# here's the fallback if no module succeeds
session requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
session required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
session required                        pam_unix.so
session [success=ok default=1]          pam_winbind.so
session [success=done default=ignore]   pam_mount.so
session sufficient                      pam_ccreds.so
# end of pam-auth-update config

/etc/pam.d/common-session-noninterractive

session [default=1]                     pam_permit.so
# here's the fallback if no module succeeds
session requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
session required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
session required        pam_unix.so
session sufficient      pam_ccreds.so

Если вам нужна дополнительная информация, не стесняйтесь спрашивать. Заранее спасибо.