Как воспроизвести

0) Развернуть AD домен foo.example (на samba или windows 2008 r2 или новее)
1) Создать доменного пользователя testuser
2) Определить групповую политику, запрещающую пользователю testuser входить удаленно, и применить ее ко всему домену
3) Ввести в домен клиентскую машину (с ALT):
   а) Установить ПО, необходимое для вхлда  в домен:

   sudo apt-get install -y samba-client task-auth-ad-sssd

   б) создать /etc/krb5.conf следующего вида:
    [libdefaults]
    dns_lookup_kdc = true
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    default_realm = FOO.EXAMPLE

   в) создать /etc/samba/smb.conf следующего содержания:
   [global]
       security = ads
       realm = FOO.EXAMPLE
       workgroup = FOO
       netbios_name = CLIENT
       kerberos method = system keytab
       wins support = no
       idmap config * : range = 10000-20000000
       idmap config * : backend = tdb
   [homes]
       comment = Home Directories
       browseable = no
       writable = yes

  здесь CLIENT -- краткое имя клиентской машины в верхнем регистре

  г) выполнить команду

  sudo system-auth write ad FOO.EXAMPLE CLIENT FOO administrator $DOMAIN_ADMIN_PASSWORD

  здесь CLIENT -- краткое имя клиентской машины в верхнем регистре, $DOMAIN_ADMIN_PASSWORD -- пароль администратора домена

  д) перезапустить sssd

     sudo service sssd restart

4) проверить, что на клиентской машине работает nss:

   getent passwd testuser

   должно напечатать что-то вроде

   testuser:*:597601106:597600513:testuser:/home/FOO.EXAMPLE/testuser:/bin/bash

5) войти как testuser на клиентскую машину по ssh

   ssh testuser@client.foo.example


Ожидаемый результат

Отказано в доступе (в соответствии с групповой политикой).

Наблюдаемый результат

Пользователь testuser успешно входит по ssh на клиентскую машину.


Предполагаемая причина

В файле /etc/sssd/sssd.conf в секции [domain/FOO.EXAMPLE] не указано 'access_provider = ad'