Falha de autenticação do Kerberos-PAM: pam ou pré-autenticação

Question

kinit -p 'username' funciona - não há problema com a configuração do território do Kerberos.

No entanto, não consigo fazer login da interface gráfica para trabalhar.

Autenticação do cliente:

pam_krb5(gdm3:auth): user <username> authenticated as <user>@<realm>
gkr-pam: error looking up user information

Servidor krb5kdc.log:

Oct 01 02:27:23 debian krb5kdc[6996](info): AS_REQ (4 etypes {18 17 16 23}) 10.0.0.11:
NEEDED_PREAUTH: <user>@<realm> for krbtgt/<realm>@<realm>, Additional
pre-authentication required


Oct 01 02:27:23 debian krb5kdc[6996](info): AS_REQ (4 etypes {18 17 16 23}) 10.0.0.11: 
ISSUE: authtime 1412144843, etypes {rep=18 tkt=18 ses=18}, <user>@<realm> for 
krbtgt/<realm>@<realm>

Em outras palavras, o servidor Kerberos emite o ticket para o cliente sem um problema, mas o login da GUI não funciona. Qualquer pensamento é muito apreciado!

O cliente e o servidor estão executando o Debian 7.6.0 x86_64.

    

Answer 1

A linha chave para olhar é:

gkr-pam: error looking up user information

Autenticação bem-sucedida não significa necessariamente que o acesso será concedido pelo PAM. O usuário deve ser reconhecido pelo sistema operacional e também deve passar as verificações contábeis (os módulos account na pilha do PAM).

O erro acima sugere que o usuário não existe no sistema (do console, getent passwd <username> e getent shadow <username> funcionam?) ou um dos módulos PAM configurados está tendo dificuldades para obter informações sobre o usuário de uma fonte remota.

Focalize sua investigação nessa direção e você poderá identificar e corrigir o problema.