SSSD e verificação do status de associação do domínio AD por meio de "net ads testjoin"

Question

Eu tenho uma pergunta sobre a verificação do status de ingresso no domínio do AD para sistemas Linux (CentOS 6) que usam SSSD. Para o domínio inicial, usei winbind "net ads join -k ..." Obteve o keytab do host etc. Quando eu emito "net ads testjoin", recebo "Join OK".

Após um mês, o SSSD / adcli renova a senha da máquina e eu recebo um novo keytab de host.

Quando verifico o status de ingresso no domínio usando o mesmo comando testjoin de anúncios da rede, recebo um erro:

kerberos_kinit_password [email protected] failed: Preauthentication failed

Ainda posso obter o ticket do host usando o novo keytab e verificar o status usando o comando "net ads status". Eu posso ver "pwdLastSet: 131463365324203378", que corresponde ao timestamp no keytab. "getent passwd" também é bem sucedido; Eu ainda consigo acessar servidores.

Por que "net ads testjoin" está dando erro depois que o host renova sua senha de máquina com o AD?

Existe um método melhor para testar o status de associação do domínio?

Obrigado.