pam_sss 系统错误，如何查找问题？

Question

我使用的是 Ubuntu 15.10，但今天升级到 16.04 LTS。升级后，我无法再针对我们的 AD 进行身份验证。我曾尝试使用https://help.ubuntu.com/lts/serverguide/sssd-ad.html作为从头开始配置所有内容的指南。一切正常，直到步骤Test Authentication。

我无法登录使用

su - myusename

当我检查我的 auth.log 时，我看到以下几行：

Apr 28 12:59:30 PC1899 su[3134]: pam_krb5(su:auth): user myusename authenticated as myusename@DOMAIN
Apr 28 12:59:30 PC1899 su[3134]: (rdconf1.c:744): path to luserconf set to /home/DOMAIN/myusername/.pam_mount.conf.xml
Apr 28 12:59:30 PC1899 su[3134]: (pam_mount.c:365): pam_mount 2.14: entering auth stage
Apr 28 12:59:30 PC1899 su[3134]: pam_sss(su:account): Access denied for user myusername: 4 (System error)
Apr 28 12:59:30 PC1899 su[3134]: pam_acct_mgmt: System error
Apr 28 12:59:30 PC1899 su[3134]: (pam_mount.c:133): clean system authtok=0x55da4f8329c0 (4)
Apr 28 12:59:30 PC1899 su[3134]: FAILED su for myusername by localuser

谷歌搜索错误并没有找到我可以使用的任何线索。

我该如何调试问题？或者更好，让它重新工作？

Answer 1

查看 /var/log/sssd/gpo_child.log （最终提前提高日志级别）。升级到 16.04 后，我的包含错误，无法创建 /var/lib/sss/gpo_cache/example.com

mkdir -p /var/lib/sss/gpo_cache/example.com
chown -R sssd:sssd /var/lib/sss/gpo_cache

解决了这些问题，我可以再次使用 AD 用户进行 su 和登录。

Answer 2

确保你 /etc/sssd/sssd.conf有

use_fully_qualified_domain_name = False

还要执行以下操作

realm deny --all
realm permit --groups  <your_AD_Group@domain.com>

重启sssd和realm