При выборе компонента, я опирался на то, что при изменении в admc наcтройки в RSAT на Windows тоже меняются. То есть система, которую я отключил - имеет атрибут ACCOUNT_DISABLED как в RSAT, так и в admc.

Похоже, что дело именно в samba

Не хватает двух проверок для локализации "проблемы".

Суть проблемы - после отключения учетной записи компьютера Windows-клиента с помощью admc сохраняется возможность авторизации.

Вопросы:
1) ведёт ли себя windows-клиент также, если учётную запись в той же конфигурации  отключить в с помощью rsat? Как поведёт себя Альт?
2) ведёт ли себя windows-клиент также, если учётную запись отключить с помощью rsat. но в конфигурации с windows server 2019? Как поведёт себя Альт?

Хотелось бы подчеркнуть, что настройки-то меняются одни и те же, но вот особенности в реализации могут быть разными.

Третий вариант - использовать admc в конфигурации с windows server 2019 выглядит интересным дополнением.

(Ответ для Evgeny Sinelnikov на комментарий #2)
> Не хватает двух проверок для локализации "проблемы".
> 
> Суть проблемы - после отключения учетной записи компьютера Windows-клиента с
> помощью admc сохраняется возможность авторизации.
> 
> Вопросы:
> 1) ведёт ли себя windows-клиент также, если учётную запись в той же
> конфигурации  отключить в с помощью rsat? Как поведёт себя Альт?
> 2) ведёт ли себя windows-клиент также, если учётную запись отключить с
> помощью rsat. но в конфигурации с windows server 2019? Как поведёт себя Альт?
> 
> Хотелось бы подчеркнуть, что настройки-то меняются одни и те же, но вот
> особенности в реализации могут быть разными.
> 
> Третий вариант - использовать admc в конфигурации с windows server 2019
> выглядит интересным дополнением.

1) Ввёл в ранее существующий домен, развернутый на Альте, Windows Server 2019 в качестве второго контроллера домена. При отключении учетной записи компьютера через RSAT проблема на Windows-клиенте воспроизводится, а на Альте нет.
2) Развернул чистый домен (Active Directory) на Windows Server 2019. При отключении учетной записи компьютера через RSAT Windows-клиент не может авторизоваться под новым доменным пользователем с сообщением: "База данных диспетчера учетных записей на сервере не содержит записи для регистрации компьютера через доверительные отношения с этой рабочей станции".
После включения учетной записи компьютера - клиент на Windows успешно проходит авторизации тем же пользователем.

На Альте же я столкнулся с другой проблемой: после введения в домен невозможно авторизоваться доменным пользователем. При вводе имени учетной записи появляется надпись: "Неверный пароль, попробуйте ввести ещё раз".

Присоединение к домену Windows AD прошло без каких-либо ошибок:
# system-auth write ad win.domain alt WIN 'admin' 'Pa##word'
Using short domain name -- WIN
Joined 'ALT' to dns domain 'WIN.DOMAIN'
Successfully registered hostname with DNS

При попытке входа, в журнале ругается только lightdm:
ноя 01 14:28:57 alt.win.domain lightdm[3480]: pam_succeed_if(lightdm:auth): requirement "user ingroup nopasswdlogin" not met by user "qwe"
ноя 01 14:28:57 alt.win.domain lightdm[3480]: gkr-pam: error looking up user information
ноя 01 14:28:57 alt.win.domain lightdm[3481]: pam_succeed_if(lightdm:auth): requirement "user ingroup nopasswdlogin" not met by user "qwe"
ноя 01 14:28:57 alt.win.domain lightdm[3481]: gkr-pam: error looking up user information

Created attachment 17109 [details]
Windows AD - Попытка входа с отключенной учетной записью компьютера на клиенте Windows

Created attachment 17110 [details]
Windows AD - Попытка авторизации доменным пользователем после присоединения клиента Альт

samba 4.21.9-alt1
Alt server p11 x86_64
Winserver 2008r2, 2012r2 (клиенты)

Оба windows клиента успешно авторизируются, даже если их УЗ отключены. Любые Alt клиенты при отключении их УЗ успешно не авторизируются. Поведение идентично при работе с RSAT и ADMC.

Редактирование конфига и отключение ntlm результатов не дало, возможно не нашел нужные параметры

Ошибка актуальна для пакета samba-4.22.10-alt1