Беспарольный вход в Ubuntu SSH с использованием Kerberos

Это сводит меня с ума. Я пытаюсь настроить интегрированный в AD сервер Ubuntu 16.04 для приема билетов Kerberos при входе в систему через SSH. У меня есть сервер CentOS 7, который без проблем принимает билеты после присоединения к домену AD, но я не получил правильную конфигурацию на сервере Ubuntu.

Вот установка:

• Домен Windows 2012 AD (realdomain.tld)
• Fedora 25 Workstation (wksf25.realdomain.tld)
• Сервер CentOS 7 (sc7.realdomain.tld)
• Сервер Ubuntu 16.04 (su16.realdomain.tld)

Все было подключено к AD через realm, и это работает без проблем. Все также получают билеты Kerberos при входе в систему или через kinit. SSHing с wksf25 на sc7 работает нормально, и я могу войти в систему через SSH, используя билет kerberos, который я получаю при входе в wkfs25.

Вот шаги настройки для Ubuntu:

1. Установите пакеты:

   apt install realmd oddjob oddjob-mkhomedir sssd sssd-tools adcli samba-common krb5-user chrony packagekit libpam-krb5
   

2. редактировать chrony.conf использовать AD DC.

3. Настройте realmd.conf: vim /etc/realmd.conf

   [users]
   default-home = /home/%D/%U
   
   [realdomain.tld]
   fully-qualified-names = no
   manage-system = no
   automatic-id-mapping = yes
   

4. Присоединяйтесь к домену: realm join -vU domainuser realdomain.tld

5. Разрешить вход: realm permit -R realdomain.tld -g linuxadmins

6. Специфика Ubuntu - настройка pam для создания домашнего каталога при входе в систему: `vim /etc/pam.d/common-session '

   session optional        pam_mkhomedir.so umask=0077
   

7. Только для Ubuntu - включите аутентификацию GSSAPI в OpenSSH: vim /etc/ssh/sshd_config

   GSSAPIAuthentiction yes
   GSSAPICleanupCredentials no
   

8. Войдите в систему с учетной записью домена и убедитесь, что все работает. На данный момент все работает, за исключением входа по SSH без пароля через билеты Kerberos на сервере Ubuntu.

Вот что я получаю от realm list:

realdomain.tld
  type: kerberos
  realm-name: REALDOMAIN.TLD
  domain-name: realdomain.tld
  configured: kerberos-member
  server-software: active-directory
  client-software: sssd
  required-package: sssd-tools
  required-package: sssd
  required-package: libnss-sss
  required-package: libpam-sss
  required-package: adcli
  required-package: samba-common-bin
  login-formats: %U
  login-policy: allow-permitted-logins
  permitted-logins: 
  permitted-groups: linuxusers

sssd.conf:

[sssd]
domains = realdomain.tld
config_file_version = 2
services = nss, pam

[domain/realdomain.tld]
ad_domain = realdomain.tld
krb5_realm = REALDOAMIN.TLD
realmd_tags = joined-with-adcli 
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%d/%u
access_provider = simple
simple_allow_groups = linuxusers

krb5.conf:

[libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    default_ccache_name = KEYRING:persistent:%{uid}

    default_realm = REALDOMAIN.TLD

[realms]
    REALDOMAIN.TLD = {
    }

[domain_realm]
    realdomain.org = REALDOMAIN.TLD
    .realdomain.org = REALDOMAIN.TLD

Что мне не хватает?