Usuários do Active Directory incapazes de alterar senhas [SSSD]

Question

Eu configurei um sistema Ubuntu 16.04 para ingressar em um domínio do AD seguindo as instruções definidas aqui .

Eu posso fazer o login com usuários do AD e tudo está funcionando corretamente, no entanto, os usuários do AD não podem alterar suas senhas com passwd ou kpasswd . Não tenho certeza do que posso não ter configurado corretamente.

Aqui estão meus arquivos de configuração:

== /etc/pam.d/common-password ==

password        sufficient                      pam_sss.so
password        required                        pam_cracklib.so retry=6 minlen=9 difok=1 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 enforce_for_root
password        [success=1 default=ignore]      pam_unix.so obscure try_first_pass sha512
password        requisite                       pam_deny.so
password        required                        pam_permit.so
password        optional        pam_gnome_keyring.so

== /etc/sssd/sssd.conf ==

[sssd]
domains = my.domain.com
config_file_version = 2
services = nss, pam

[domain/my.domain.com]
ad_domain = my.domain.com
krb5_realm = my.domain.com
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
use_fully_qualified_names = False
fallback_homedir = /home/%d/%u
access_provider = ad

auth_provider = ad
chpass_provider = ad
ldap_schema = ad
dyndns_update = true
dyndsn_refresh_interval = 43200
dyndns_update_ptr = true
dyndns_ttl = 3600
krb5_use_enterprise_principal = false

Qualquer ajuda seria muito apreciada. Eu estive pesquisando por várias horas não, sem sorte ...

EDIT:
Aqui está o que estou vendo no terminal:

cypher@ubuVB2:~$ passwd
Current Password: 
New Password: 
Reenter new Password: 
Password change failed. Server message: Please make sure the password meets the complexity constraints.
New password: 
Retype new password: 
passwd: Authentication token manipulation error
passwd: password unchanged

Tenho certeza de que a senha que estou tentando definir atende aos requisitos de complexidade, por isso é bastante estranho ...

    

Answer 1

A mensagem de complexidade de senha é um pouco genérica, apenas significa que o SSSD tentou alterar a senha, mas por um motivo ou outro o AD DC não a deixou. Usamos uma mensagem genérica, porque a complexidade da senha é a mais comum. Se você habilitar debug_level = 10 na seção de domínio e, em seguida, executar a alteração de senha, o arquivo krb5_child.log em / var / log / sssd indicará o motivo real. Não se esqueça de redefinir o debug_level de volta depois de terminar o teste, porque debug_level = 10 é bastante detalhado.