Fedora 21 как AD участник внезапно прекратил работать

Мне подключили мою рабочую станцию Fedora 21 к моему домену AD и работающий приблизительно в течение месяца, и все было хорошо, и затем я вошел однажды утром и не мог войти в систему. Мой начальный ответ обвинял Win2013 и AD, но после небольшого рытья в конечном счете средство просмотра я не смог найти любые ошибки, и вместе с тем, что я могу успешно войти в систему всех других участников AD Linux (Fedora 19/20, CentOS 6, Debian 6/7), это, кажется, не источник проблемы.

Когда я пытаюсь зарегистрироваться на пути su все, что я получаю, su: Authentication failure, и /var/log/audit/audit.log содержит сообщение:

type=USER_AUTH msg=audit(1421174144.121:1306): pid=25524 uid=1000 auid=1000
ses=2 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 
msg='op=PAM:authentication grantor=? acct="gjohn" exe="/usr/bin/su"
hostname=? addr=? terminal=pts/1 res=failed'

SELinux включен, но я попробовал отключенным и получаю ту же ошибку/сообщение.

Вещи, которые стоит упомянуть:

• Пароль, который я ввожу, является правильным
• Я не нажал Caps Lock случайно и нет никаких других тривиальных пользовательских ошибок в действии насколько я могу сказать
• Samba/Winbind функционируют, и я получаю корректный вывод, когда я делаю getent passwd все пользователи домена отображены с корректным UID/GID
• Это не только моя учетная запись, которая не может войти в систему, все учетные записи неспособны и получают ту же ошибку
• То же самое происходит на попытках входа в систему через GDM, su, и SSH

Я использую установку Samba/Winbind, потому что насколько я могу сказать, требуете ли Вы диапазонов idmap для файловых служб, Вы имеете к. Я попытался использовать sssd и realmd, но никогда не мог управлять UID и диапазонами GID, который для меня имеет значение.

Я в замешательстве теперь, потому что существует очень мало полезной информации в /var/log/samba/* несмотря на то, что увеличил уровень журнала. Я предполагаю, что это - связанный pam, но я все еще пытаюсь выяснить, как контролировать вывод для того конца.

Соответствующие конфигурационные файлы:

/etc/samba/smb.conf:

[global]
   workgroup = DOMAIN
   realm = DOMAIN.NET
   security = ads
   server string = Workstation
   winbind use default domain = true
   winbind nested groups = yes
   winbind enum users = yes
   winbind enum groups = yes
   winbind offline logon = true
   winbind refresh tickets = yes
   winbind cache time = 5
   template shell = /bin/bash
   template homedir = /home/%U
   idmap config * : backend = rid
   idmap config * : range = 10000-20000
   passdb backend = tdbsam
   encrypt passwords = yes
   # logging
   log level = 3
   log file = /var/log/samba/log.%m
   max log size = 50

/etc/krb5.conf:

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = DOMAIN.NET
 dns_lookup_realm = true
 dns_lookup_kdc = true
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false

/etc/pam.d/password-auth И/etc/pam.d/system-auth:

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        sufficient    pam_winbind.so cached_login use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     [default=bad success=ok user_unknown=ignore] pam_winbind.so cached_login
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_winbind.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     optional      pam_mkhomedir.so umask=0077
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_winbind.so cached_login

Править: Я не видел это сначала потому что /var/log/messages теперь journalctl, при каждой попытке входа в систему я получаю ошибку:

Jan 13 11:41:38 ws.domain.net su[27383]: pam_winbind(su-l:auth): getting password (0x00000210)
Jan 13 11:41:38 ws.domain.net su[27383]: pam_winbind(su-l:auth): pam_get_item returned a password
Jan 13 11:41:38 ws.domain.net su[27383]: pam_winbind(su-l:auth): internal module error (retval = PAM_SERVICE_ERR(3), user = 'gjohn')
Jan 13 11:41:40 ws.domain.net su[27383]: FAILED SU (to gjohn) crdc on pts/11