sssd интеграция пароля активного каталога не работает

Мы находимся в процессе настройки sssd для использования с активным каталогом, используя конфигурацию ниже.

Мы не используем сопоставление атрибутов, так как хотим использовать атрибуты, определенные в объектах AD ldap, такие как пользовательский uid, unixHomeDirectory, открытые ключи и т. Д.

sssd.conf:

[sssd]
domains = company.domain
config_file_version = 2
services = nss, pam, sudo, ssh
debug_level = 6

[domain/sew.online]
ad_hostname = EXAMPLESERVER01 #This is templated using ansible
ad_domain = company.domain
krb5_realm = COMPANY.DOMAIN
krb5_store_password_if_offline = true
use_fully_qualified_names = false
id_provider = ad
auth_provider = ad
access_provider = ad
chpass_provider = ad
lookup_family_order = ipv4_only
cache_credentials = true
dns_discovery_domain = {{ prod_domain_name }}
create_homedir = true
auto_private_groups = true
ad_gpo_access_control = permissive
ad_gpo_cache_timeout = 30
ad_site = SITENAME
case_sensitive = false
enumerate = false
default_shell = /bin/bash
ldap_schema = ad
ldap_id_mapping = False
ldap_user_shell = loginShell
ldap_user_principal = samAccountName
ldap_user_ssh_public_key = altSecurityIdentities
ldap_user_home_directory = unixHomeDirectory
fallback_homedir = /home/%u

ldap_force_upper_case_realm = true
ldap_purge_cache_timeout = 0
ldap_account_expire_policy = ad
ldap_group_search_base = DN=etc...
ldap_user_search_base = DN=etc...
debug_level = 6

[nss]
fallback_homedir = /home/%u
reconnection_retries = 3
debug_level = 6

[pam]
offline_credentials_expiration = 3
offline_failed_login_attempts = 10
offline_failed_login_delay = 30
pam_verbosity = 3
pam_id_timeout = 10
pam_pwd_expiration_warning = 30
reconnection_retries = 3
debug_level = 6

krb5.conf

[logging]
default = FILE:/var/log/krb5libs.log

[libdefaults]
default_realm = COMPANY.DOMAIN
ticket_lifetime = 1d
renew_lifetime = 7d
dns_lookup_realm = true
dns_lookup_kdc = true
rdns = false
allow_weak_crypto = false
permitted_enctypes = aes256-cts-hmac-sha1-96
default_tkt_enctypes = aes256-cts
default_tgs_enctypes = aes256-cts
kdc_timesync = 1
kdc_timeout = 3000
forwardable = true
renewable = true
proxiable = true
udp_preference_limit = 1
rnds = false

Вот pastebin различных файлов журнала sssd: https://pastebin.com/2P58uybg

Журналы показывают, что пользователь домена, который уже успешно вошел в систему (через sshd и аутентификацию с открытым ключом), пытается запустить sudo bash

Помимо паролей, интеграция с рекламой работает по желанию:

• пользователи могут войти в систему, используя свой sAMAccountName
• если я запускаю id username, вы можете увидеть группы имен пользователей с их gid из активного каталога
• объект компьютера (добавленный с помощью adcli) отображается в активном каталоге
• похоже, есть действующий билет Kerberos с SPN компьютеров

В качестве шага по устранению неполадок я настроил LDAPS на контроллерах домена с внутренним доверенным сертификатом, добавленным в хранилище ca ubuntu.

Я просмотрел журналы sudo (очень подробные), и они показывают, что группа успешно сопоставлена ​​и позволяет пользователю sudo.

Любая помощь приветствуется.

Редактировать:

ОС хоста: Ubuntu 18.04

nsswitch.conf

# /etc/nsswitch.conf
#
# Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc-reference' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.

passwd:         compat systemd sss
group:          compat systemd sss
shadow:         compat sss
gshadow:        files

hosts:          files dns
networks:       files

protocols:      db files
services:       db files sss
ethers:         db files
rpc:            db files

netgroup:       nis sss
sudoers:        files sss

Установленные пакеты для роли ansible:

• adcli
• krb5-пользователь
• sssd
• sssd-инструменты
• sssd-ad
• sssd-krb5
• python3-sss
• libpam-sss
• libnss-sss
• libsss-sudo