Ubuntu 17.10 - Kerberos / SSSD AD O login do usuário só funciona algumas vezes

Question

Eu sou novo aqui, então, por favor, me avise, se eu perdi alguma coisa sobre as regras aqui.

Estamos executando uma rede de computadores em um domínio AD do Windows Server 2016.

No Ubuntu 16.04 nós configuramos o Ubuntu para permitir que usuários de domínio façam login via Kerberos e SSSD. Um compartilhamento CIFS é montado no login também via pam_mount.

Isso funciona perfeitamente no Ubuntu 16.04. Com o mesmo smb.conf, sssd.conf e pam_mount.conf.xml no Ubuntu 17.10, no entanto, o login às vezes funciona e às vezes não funciona! Ambos via GUI e linha de comando, assim como ssh.

É realmente frustrante identificar o erro, pois ele não ocorre regularmente e o login com credenciais do AD às vezes funciona!

Pelo que consegui reunir do lado do DC, quando o Login no cliente do Ubuntu 17.10 falha, nenhum ticket do kerberos foi solicitado pelo cliente do DC.

Como eu não estou muito familiarizado com o SSSD, Kerberos e PAM, fiquei me perguntando, se eu estava perdendo alguns novos desenvolvimentos nesses pacotes que tornam a configuração adicional necessária?

Onde eu poderia começar a identificar o problema?

O erro no sssd_pam.log é:

(Thu Nov  2 18:57:00 2017) [sssd[pam]] [pam_dom_forwarder] (0x0100): pam_dp_send_req returned 0
(Thu Nov  2 18:57:00 2017) [sssd[pam]] [sss_dp_req_destructor] (0x0400): Deleting request: [0x5653aba02710:3:[email protected]@domain.name]
(Thu Nov  2 18:57:00 2017) [sssd[pam]] [sbus_remove_timeout] (0x2000): 0x5653abdb83b0
(Thu Nov  2 18:57:00 2017) [sssd[pam]] [pam_dp_process_reply] (0x0200): received: [4 (System error)][domain.name]

O sssd.conf tem esta aparência:

[sssd]
config_file_version = 2
services = nss,pam
domains = domain.name

[nss]

[pam]
debug_level = 8

[domain/domain.name]
debug_level = 8
id_provider = ad
access_provider = ad
auth_provider = ad
enumerate = true
cache_credentials = false
case_sensitive = false
override_homedir = /home/%u
default_shell = /bin/bash
create_homedir = true
remove_homedir = true

krb5.conf assim:

[libdefaults]
        default_realm = DOMAIN.NAME
        ticket_lifetime = 24h
        renew_lifetime = 7d

[realms]
        CYANOLAB = {
                kdc = server1.domain.name
                kdc = server2.domain.name
                admin_server = server1.domain.name
        }

E o smb.conf assim:

[global]
workgroup = DOMAIN
client signing = yes
client use spnego = yes
realm = domain.name
security = ads
kerberos method = secrets and keytab

O que eu tentei até agora:

1. Ativado cache_credentials na configuração do SSSD.
2. Reinstalou todo o sistema.
3. Fiddled with the common- * files.
4. Reiniciou todos os serviços (smbd, sssd, rede) manualmente.

Tudo sem sucesso.

Eu realmente apreciaria qualquer dica que pudesse me apontar na direção certa para resolver esse problema misterioso (pelo menos para mim).