>> Получается, что pam_winbind находит у себя пользователя с символом [at] и ищет
>> его в своей базе, находит, а потом два варианта. Либо pam_winbind
>> меняет имя пользователя и передает работу секции account, либо передает в
>> account идентификатор пользователя.
>> В первом случае, чтобы все заработало, нужно заставить GSSAPI делать тоже самое,
> Не нужно GSSAPI заставлять, это не его забота. GSSAPI говорит - это
> корова. А пригодна ли она в пищу, решают PAM, LDAP, WINBIND,
> /etc/passwd и остальные.

Хорошо. GSSAPI сказал, что vitto это vitto. Но кто должен сказать, что это доменный vitto, а не локальный? И на каком основании?