Samba 和 AD - “net ads changetrustpw”失败

Question

我有一个 Windows AD 的 Samba 成员。我使用的组合sssd和winbind。Samba 管理机器密码更改，并且还配置为更新sssd. （通常由其处理的机器密码更新sssd被禁用。）

问题出现在 Samba 文件服务器上，banas并显示以下错误：

net ads changetrustpw
Changing password for principal: banas$@CONTOSO.COM
Password change failed: No more connections can be made to this remote computer at this time because the computer has already accepted the maximum number of connections.

我无法通过 Google 找到与此错误消息相关的任何有用匹配项（我所看到的所有内容似乎都与 Windows XP 或其他 Windows 桌面系统试图向太多客户端提供网络共享有关）。

信任很好，因为我可以浏览 Samba 提供的共享，wbinfo -i返回非本地 AD 帐户的合理和预期信息，并net ads testjoin返回预期的Join is OK.

我在changetrustpw命令上启用了调试，但没有任何反应。与 DC 的连接成功建立，随后进行协商，但再次出现最终错误。

AD使用最初运行Windows 2012 R2但逐渐升级到Windows 2016的DC进行管理。

相关片段来自 smb.conf

[global]
server string Fileserver
server role = member server
server services = -dns
workgroup = CONTOSO
realm = CONTOSO.COM
security = ADS
encrypt passwords = yes
kerberos method = secrets and keytab
client ldap sasl wrapping = sign
passdb backend = tdbsam
idmap config CONTOSO : backend = sss
idmap config CONTOSO : range = 800000000-899999999
idmap config * : backend = tdb
idmap config * : range = 100000000-199999999

相关片段来自 sssd.conf

[domain/contoso.com]
ad_domain = contoso.com
ad_hostname = banas.contoso.com
krb5_realm = CONTOSO.COM
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = True
ad_domain = contoso.com
krb5_realm = CONTOSO.COM
use_fully_qualified_names = False
fallback_homedir = /home/DOMAIN=CONTOSO/%u
access_provider = permit
ldap_group_nesting_level = 5
ldap_use_tokengroups = false
ad_maximum_machine_account_password_age = 0

我混淆了，但始终如一。就这个问题而言，我的域是CONTOSO, contoso.com。

changetrustpw尝试期间没有任何内容写入 Samba 或 sssd 日志文件。相同的配置在其他 Samba 成员上按预期工作。如果相关，Debian 在所有三种情况下都“伸展”。

我可以根据要求添加其他详细信息 - 在这个阶段我根本不知道还有什么有用的。

如果任何人都可以向我提出补救措施（或者如果未能将我指向可以帮助我诊断和解决此问题的其他资源），我将不胜感激。