<div dir="ltr"><div>Package: sssd</div><div>Version: 1.16.0-3</div><div>Severity: normal</div><div><br></div><div>   * What led up to the situation?</div><div><br></div><div>This machine is running debian testing (with sssd 1.16.0-3 installed).</div><div>It has a mix of local users and users who log in through sssd.  In the</div><div>past the two were compatible.  If local users could log in with their</div><div>local password, sss users could log in with their ad password, and if</div><div>someone happened to have both accounts they could log in with either</div><div>password and would be given their local uid.  </div><div><br></div><div>Now when users with local accounts authenticate a "System error"</div><div>is reported in auth.log.  E.G. </div><div><br></div><div>Jan 23 17:05:48 ###### su[22022]: pam_sss(su:auth): received for user ######: 4 (System error)</div><div><br></div><div>For users with both sss and local accounts this prevents them from using</div><div>their ad passwords.  Local users can still successfully use their local</div><div>passwords.  </div><div><br></div><div>   * What exactly did you do (or not do) that was effective (or</div><div>     ineffective)?</div><div><br></div><div>I have tried reordering various things in nssswitch.conf and the pam</div><div>stack, as well as numerious sssd options.  </div><div><br></div><div>   * What was the outcome of this action?</div><div><br></div><div>Nothing I did with pam, nsswitch or the sssd conf files had any affect.</div><div>The only clue in the log files is in sssd_pam where there are lines</div><div>like:</div><div><br></div><div>(Tue Jan 23 17:02:44 2018) [sssd[pam]] [pam_dp_process_reply] (0x0010): Reply error.</div><div>(Tue Jan 23 17:02:44 2018) [sssd[pam]] [pam_reply] (0x0200): pam_reply called with result [4]: System error.</div><div><br></div><div>There are no entries in krb5_child.log, sssd.log, or the domain logs which correspond to these login attempts.  </div><div><br></div><div>   * What outcome did you expect instead?</div><div><br></div><div>Previously the system would successfully attempt to validate the</div><div>credentials for local users, either returning unknown user or checking</div><div>the password for local users with ad accounts.  </div><div><br></div><div>*** End of the template - remove these template lines ***</div><div><br></div><div><br></div><div>-- System Information:</div><div>Debian Release: buster/sid</div><div>  APT prefers unstable</div><div>  APT policy: (500, 'unstable'), (500, 'testing')</div><div>Architecture: amd64 (x86_64)</div><div><br></div><div>Kernel: Linux 4.14.0-3-amd64 (SMP w/24 CPU cores)</div><div>Locale: LANG=en_US.UTF-8, LC_CTYPE=en_US.UTF-8 (charmap=UTF-8), LANGUAGE=en_US.UTF-8 (charmap=UTF-8)</div><div>Shell: /bin/sh linked to /bin/dash</div><div>Init: systemd (via /run/systemd/system)</div><div>LSM: AppArmor: enabled</div><div><br></div><div>Versions of packages sssd depends on:</div><div>ii  python3-sss  1.16.0-3</div><div>ii  sssd-ad      1.16.0-3</div><div>ii  sssd-common  1.16.0-3</div><div>ii  sssd-ipa     1.16.0-3</div><div>ii  sssd-krb5    1.16.0-3</div><div>ii  sssd-ldap    1.16.0-3</div><div>ii  sssd-proxy   1.16.0-3</div><div><br></div><div>sssd recommends no packages.</div><div><br></div><div>sssd suggests no packages.</div><div><br></div><div>-- debconf-show failed</div><div><br></div></div>