En mi empresa AD tenemos un usuario que no puede iniciar sesión en Mac. El mac se ha limitado a AD y los demás usuarios pueden iniciar sesión sin problemas.
Sucede después de que eliminé su directorio de casa móvil en Mac. Pensé que la próxima vez que inicie sesión, se creará un nuevo directorio de inicio, pero el diálogo de inicio de sesión de Mac simplemente temblará como si escribiera una contraseña incorrecta.
Salida de dsconfigad -show :
Active Directory Forest = sample.com
Active Directory Domain = sample.com
Computer Account = samplemacmini$
Advanced Options - User Experience
Create mobile account at login = Enabled
Require confirmation = Disabled
Force home to startup disk = Enabled
Mount home as sharepoint = Enabled
Use Windows UNC path for home = Enabled
Network protocol to be used = smb
Default user Shell = /bin/bash
Advanced Options - Mappings
Mapping UID to attribute = not set
Mapping user GID to attribute = not set
Mapping group GID to attribute = not set
Generate Kerberos authority = Enabled
Advanced Options - Administrative
Preferred Domain controller = not set
Allowed admin groups = domain admins,enterprise admins
Authentication from any domain = Enabled
Packet signing = allow
Packet encryption = allow
Password change interval = 14
Restrict Dynamic DNS updates = not set
Namespace mode = domain
Además, cuando Mac la rechaza, encontré un evento de error de autenticación previa de Kerberos:
Kerberos pre-authentication failed.
Account Information:
Security ID: domain\username
Account Name: username
Service Information:
Service Name: krbtgt/sample.COM
Network Information:
Client Address: ::ffff:(mac ip)
Client Port: 55959
Additional Information:
Ticket Options: 0x40000000
Failure Code: 0x18
Pre-Authentication Type: 2
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
Descubrí que cuando las fallas de Kerberos superan nuestro límite de la política de inicio de sesión, se bloqueará.
Sospecho que se envía una contraseña en blanco. ¿Alguna idea?