Альт СП с9
Роль: Контроллер домена AD
Если пароль для учетки задавать из RSAT, то всё задается хорошо
Если samba-tool setpassword user, то происходит проблема.

Приведу пример:
user1 - пароль задан в RSAT
user2 - samba-tool 

В krb5.conf (на клиенте):
 default_tkt_enctypes = arcfour-hmac-md5
 default_tgs_enctypes = arcfour-hmac-md5 

Билет удается получить на обе учетки
Смотрю тип шифрования (klist -e)
У обоих Etype (skey, tkt): arcfour-hmac, aes256-cts-hmac-sha1-96 

Правлю krb5.conf (на клиенте):
 default_tkt_enctypes = aes256-cts-hmac-sha1-96
 default_tgs_enctypes = aes256-cts-hmac-sha1-96 

user1 билет получает
user2 Password incorrect while getting initial credentials

Получается билет user2 как бы зашифрован алгоритмом aes256-cts-hmac-sha1-96, но расшифровать его не получается.