passwd и неожиданный Kerberos

Рутинная задача: сменить пароль локального пользователя на линуксовом сервере.

passwd траблмейкер
введи старый пароль:
введи новый пароль:
повтори новый пароль:

А вот хрен там!

passwd траблмейкер
Пароль от Кербероса давай, да? (Current Kerberos password:)

Опаньки! А откуда я знаю этот пароль, если для этого пользователя он никогда не задавался? И почему для рута, чей пароль я менял несколько минут назад, этого не спрашивали?
Прямо сейчас лень долго разбираться, в чем дело, поэтому пошел по пути наименьшего сопротивления (http://unix.stackexchange.com/questions/116028/how-could-i-eliminate-kerberos-for-passwd)

Запускаем от рута pam-auth-update, снимаем чекбокс с кербероса, после чего дурацкий вопрос не задаётся. Желательно после смены пароля вернуть чекбокс на место - х.з., на что это может повлиять на самбовском сервере.

О бедной собачке замолвите слово (kerberos)

(абстракт: после установки кербероса стало невозможно войти в ubuntu кроме как через recovery shell - при попытке обычного логона даже не предлагается ввести пароль, сразу идет возврат ко вводу имени пользователя)

Готовил очередной виртуальный сервер ко вводу в новый домен. Это будет первый самба-сервер в этом домене. В старом особых проблем не возникало, надеюсь, не сильно их будет и в новом. Однако, такие вот неплановые грабли: неожиданно sudo стала давать segfault, а после перезагрузки вообще не удалось залогиниться. Благо, сервер еще не в боевом состоянии, поэтому открыта recovery shell в grub-е.

Установил krb5_user, вроде бы правильно. Но напутал в /etc/krb5.conf - неправильно прописал "области действия" - realm-ы. Из-за чего и огрёб.
Неправильность была в том, что в разделе [domain_realm] забыл после доменов указать их реалмы и бедный керберос просто не знал, откуда я такой красивый нарисовался, после чего посылал меня.