Como rastrear falhas de autenticação LDAP?

Question

1) Eu tenho um servidor LDAP funcional que confirmei que pode ser usado com clientes LDAP, rodando em ec2 via jumpbox.

2) Eu executei o authconfig para configurar a autenticação baseada em ldap, para apontar para o servidor:

authconfig --useshadow --enablesssd --enablesssdauth --enablesssdauth --passalgo=sha512 --enableldap --ldapserver=my.ldap.server --ldapbasedn='ou=users,o=Directory' --enablecachecreds --enablelocauthorize --update --enableldapauth

3) No entanto, o login LDAP falha:

[root @ m2 ~] # su bsmith su: usuário bsmith não existe

Para depurar, tentei validar o maior número possível de componentes do ldap. Há alguns dados da minha máquina cliente:

1) Meu /etc/nsswitch.conf parece ter o ldap na lista:

passwd:     files sss ldap
shadow:     files sss ldap
group:      files sss ldap

2) Além disso, ive verificou o /etc/pam_ldap.conf, que parece ter o conteúdo correto no final:

# SASL mechanism for PAM authentication - use is experimental
# at present and does not support password policy control
#pam_sasl_mech DIGEST-MD5
uri ldap://my.ldap.server/
ssl start_tls
tls_cacertdir /etc/openldap/cacerts
pam_password md5

Como posso depurar o caminho de login / autenticação em meu cliente para descobrir onde o login está falhando e por que meu cliente não consegue efetuar login?