我使用本地帐户（Linux）的pam_krb5进行AD密码validation。 事情运作良好，用户可以用AD和本地密码进行身份validation。
我有一个问题，但当本地密码过期Kerberos身份validation失败，并提示用户更改其本地密码。 问题是，大多数用户不记得他们的本地密码，到目前为止我的解决方法是暂时禁用本地密码更改实施。
有没有办法让pam_krb5忽略过期的本地密码，或者至lessconfigurationPAM来优先考虑本地的Kerberos密码？
我的研究使我相信这与common-auth有关，我在下面提供了这个：
auth required pam_env.so auth sufficient pam_unix2.so auth requisite pam_succeed_if.so user ingroup access_www auth sufficient pam_krb5.so use_first_pass auth required pam_deny.so 将pam_krb5放在pam_unix2之前（并在后面的条目中保留use_first_pass ）。