GSSAPI でエラー：Unspecified GSS failure. Minor code may provide more information (Client not found in Kerberos database)

詳細: 公開日:2016年11月25日; 参照数: 17146

以前構築したSamba4とSSSDのActive Directory環境で、「ユーザ操作でパスワード変更ができない」不具合が発生しましたので対処方法を解説します。

不具合が発生したサーバはドメインコントローラ全てです。メンバーサーバでは発生していません。

実際に発生したエラーはこちらです。test01ユーザ自身でパスワード変更を試みたところ、

$ passwd
ユーザー test01 のパスワードを変更。
現在のパスワード:
システムがオフラインです、パスワード変更ができません
passwd: 認証トークン操作エラー

と表示されパスワードが変更できませんでした。

ログファイルを確認すると

# tail -f /var/log/messages
sssd_be: GSSAPI Error: Unspecified GSS failure. Minor code may provide more information (Client not found in Kerberos database)

とエラーが出力されていました。

念のためホストプリンシパルがkeytabに格納されているか確認しましたが

# klist -ke
Keytab name: FILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   1 dc01$@TESTDOMAIN.LOCAL (arcfour-hmac)
   1 dc01$@TESTDOMAIN.LOCAL (aes256-cts-hmac-sha1-96)
   1 dc01$@TESTDOMAIN.LOCAL (aes128-cts-hmac-sha1-96)
   1 dc01$@TESTDOMAIN.LOCAL (des-cbc-md5)
   1 dc01$@TESTDOMAIN.LOCAL (des-cbc-crc)
   1 host/このメールアドレスはスパムボットから保護されています。閲覧するにはJavaScriptを有効にする必要があります。 (arcfour-hmac)
   1 host/このメールアドレスはスパムボットから保護されています。閲覧するにはJavaScriptを有効にする必要があります。 (aes256-cts-hmac-sha1-96)
   1 host/このメールアドレスはスパムボットから保護されています。閲覧するにはJavaScriptを有効にする必要があります。 (aes128-cts-hmac-sha1-96)
   1 host/このメールアドレスはスパムボットから保護されています。閲覧するにはJavaScriptを有効にする必要があります。 (des-cbc-md5)
   1 host/このメールアドレスはスパムボットから保護されています。閲覧するにはJavaScriptを有効にする必要があります。 (des-cbc-crc)