Centos 7 присоединился к AWS Simple Ad, но не может запрашивать пользователей

Ради всего святого - занимайтесь этим целых 12 часов подряд.

Я добавил свою машину centos в свою простую службу AD в AWS. Следуя инструкциям, описанным здесь

https://docs.aws.amazon.com/directoryservice/latest/adminguide/join_windows_instance.html

А затем добавил "тестового пользователя", описанного здесь https://aws.amazon.com/blogs/security/how-to-manage-identities-in-simple-ad-directories/

Я вижу, что область настроена правильно, используя

[root@testhost home]# realm discover corp.example.com
  type: kerberos
  realm-name: CORP.EXAMPLE.COM
  domain-name: corp.example.com
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: oddjob
  required-package: oddjob-mkhomedir
  required-package: sssd
  required-package: adcli
  required-package: samba-common-tools
  login-formats: %U@corp.example.com
  login-policy: allow-realm-logins

realm list команда также работает и показывает ту же информацию

Я могу увидеть своих пользователей в списке, выполнив

[root@testhost home]# net ads user -S corp.example.com
AWSAdminD-97672D7BEE
Administrator
testuser
krbtgt
Guest

Однако при запросе пользователей с помощью такой команды id

[root@testhost home]# id testuser@corp.example.com
id: testuser@corp.rise.com: no such user

Мой krb5.conf

 [libdefaults]
  dns_lookup_realm = false
  dns_lookup_kdc = false
  ticket_lifetime = 24h
  renew_lifetime = 7d
  forwardable = true
  rdns = false
  pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
  default_ccache_name = KEYRING:persistent:%{uid}
  default_realm = CORP.EXAMPLE.COM

 [realms]
   CORP.EXAMPLE.COM = {
    default_domain = corp.example.com
      kdc = corp.example.com
      admin_server = corp.example.com
   }

  [domain_realm]
    corp.example.com = CORP.EXAMPLE.COM
   .corp.example.com = CORP.EXAMPLE.COM

И мой SSSD.conf

 [sssd]
 domains = corp.example.com
 config_file_version = 2
 services = nss, pam
 debug_level = 9
 default_domain_suffix = corp.example.com

 [domain/corp.example.com]
 enumerate = True
 ad_server = corp.example.com
 ad_domain = corp.example.com
 krb5_realm = CORP.EXAMPLE.COM
 realmd_tags = manages-system joined-with-adcli
 cache_credentials = False
 id_provider = ad
 krb5_store_password_if_offline = True
 default_shell = /bin/bash
 ldap_id_mapping = True
 use_fully_qualified_names = True
 fallback_homedir = /home/%u@%d
 access_provider = ad
 debug_level = 9

Мои журналы показывают это в / var / log / messages - это может быть отвлекающим маневром ... не уверен

sssd [be [corp.example.com]]: ошибка GSSAPI: неизвестный сбой GSS. Дополнительный код может предоставить дополнительную информацию (сервер не найден в базе данных Kerberos)

Мой /var/log/sssd/sssd_corp.example.com.log показывает следующее, когда я делаю запрос идентификатора для пользователя

(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_attach_req] (0x0400): DP Request [Account #145]: New request. Flags [0x0001].
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_attach_req] (0x0400): Number of active DP request: 1
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [sss_domain_get_state] (0x1000): Domain corp.example.com is Active
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [_dp_req_recv] (0x0400): DP Request [Account #145]: Receiving request data.
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_req_reply_gen_error] (0x0080): DP Request [Account #145]: Finished. Backend is currently offline.
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_table_value_destructor] (0x0400): Removing [0:1:0x0001:1::corp.example.com:name=testuser@corp.example.com] from reply table
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_req_destructor] (0x0400): DP Request [Account #145]: Request removed.
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_req_destructor] (0x0400): Number of active DP request: 0
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [sbus_dispatch] (0x4000): dbus conn: 0x56430d094580
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [sbus_dispatch] (0x4000): Dispatching.
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [sbus_message_handler] (0x2000): Received SBUS method org.freedesktop.sssd.dataprovider.getAccountInfo on path /org/freedesktop/sssd/dataprovider
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [sbus_get_sender_id_send] (0x2000): Not a sysbus message, quit
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_get_account_info_handler] (0x0200): Got request for [0x1][BE_REQ_USER][name=testuser@corp.example.com]
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_attach_req] (0x0400): DP Request [Account #146]: New request. Flags [0x0001].
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_attach_req] (0x0400): Number of active DP request: 1
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [sss_domain_get_state] (0x1000): Domain corp.example.com is Active
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [_dp_req_recv] (0x0400): DP Request [Account #146]: Receiving request data.
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_req_reply_gen_error] (0x0080): DP Request [Account #146]: Finished. Backend is currently offline.
(Sat Jun 29 20:27:21 2019) [sssd[be[corp.example.com]]] [dp_table_value_destructor] (0x0400): Removing [0:1:0x0001:1:U:corp.example.com:name=testuser@corp.example.com] from reply table

Почему я не могу перечислить пользователей из AD после добавления в область?