Meu Fedora 26 (tinha 25 anos quando instalado / uniu-se ao AD) tem um longo tempo limite quando executo sudo para meu usuário do Active Directory se eu deixá-lo sozinho por muito tempo.
O tempo limite é longo. 25 segundos.
Eu usei strace ( sudo strace -tt -o sudo_wait.strace sudo dnf update -y ) para ver se conseguia ver o que o sistema estava fazendo nesses 25 segundos, mas parece não haver nada:
[...]
07:50:48.362655 poll([{fd=3, events=POLLIN}, {fd=7, events=POLLIN}], 2, -1) = 1 ([{fd=7, revents=POLLIN|POLLHUP}])
07:50:48.367202 recvfrom(7, "", 8, MSG_WAITALL, NULL, NULL) = 0
07:50:48.367287 poll([{fd=3, events=POLLIN}], 1, -1) = ? ERESTART_RESTARTBLOCK (Interrupted by signal)
07:51:12.493581 --- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=29817, si_uid=0, si_status=0, si_utime=896, si_stime=124} ---
07:51:12.493646 write(4, "", 1) = 1
07:51:12.493717 rt_sigreturn({mask=[]}) = -1 EINTR (Interrupted system call)
07:51:12.493769 poll([{fd=3, events=POLLIN}], 1, -1) = 1 ([{fd=3, revents=POLLIN}])
07:51:12.493820 read(3, "", 1) = 1
[...]
Provavelmente não é bom usar sudo para executar strace e dnf , pois não sei qual deles está causando o atraso.
Eu entrei na máquina para o AD usando as instruções aqui (ou eerily semelhante).
Se eu executar sudo novamente diretamente após esperar os 25 segundos, não haverá atraso, mas toda manhã, quando tento não tocar na máquina por algumas horas, o atraso está de volta.
Como posso descobrir o que a máquina está esperando?
ow posso ajustar por quanto tempo as credenciais são armazenadas em cache?
Como posso ajustar quanto tempo o tempo limite é?
EDIT: Acabei de encontrar este em RedHat. Criar o /etc/sudo.conf como sugerido produziu um log de depuração. Agora vou ter que esperar o atraso voltar e depois passar por esse registro.
O seu usuário do AD é membro de muitos grupos grandes de AD? Este é tipicamente o caso, geralmente suprimindo os membros do grupo com a ajuda de ignore_group_members.
Alternativamente, verificar os registros sssd se a máquina for capaz de se conectar a AD DCs e não for, e. o tempo limite da conexão também é uma boa coisa para fazer.