Cómo rastrear qué fuente de identidad responde por un usuario: getent, id, nsswitch.conf y sss_cache

Objetivo

Determinar qué servicio de nombres responde por un nombre de usuario o grupo concreto en un host Linux, y limpiar una entrada obsoleta de la cache de SSSD, cuando intervienen a la vez los archivos locales y un servicio de directorio (LDAP/SSSD/AD).

Requisitos previos

Acceso de lectura a /etc/nsswitch.conf; sss_cache disponible si el host usa SSSD (se instala junto con sssd-common/sssd-tools, como en las uniones a AD con realmd/SSSD).

Pasos

1. Lea el orden de consulta de las cuentas: las líneas passwd:, group: y shadow: de /etc/nsswitch.conf enumeran, en orden, las fuentes que se consultan. El paquete libnss-sss de Debian/Ubuntu coloca sss después de files; los perfiles de authselect de la familia RHEL han colocado sss antes o después de files según la versión, así que conviene leer la línea real en lugar de suponerlo. La página de manual documenta este formato de lista de fuentes por base de datos.
2. Resuelva un nombre concreto del mismo modo que lo haría cualquier programa del sistema: getent passwd alice recorre las fuentes configuradas en orden e imprime la primera coincidencia, o nada si ninguna coincide. Esta es la forma fiable de comprobar si «el sistema ve a este usuario», a diferencia de hacer grep directamente sobre /etc/passwd, que solo muestra la fuente local.
3. Compruebe cómo queda una identidad completamente resuelta, incluidas las pertenencias a grupos que pueden provenir de una fuente distinta de la de la cuenta principal: id alice, que según la página de manual imprime la información de usuario y de grupos del usuario indicado, incluidos todos los ID de grupo con -G, --groups. Resulta útil cuando una pertenencia a un grupo añadida en el directorio no aparece.
4. Si SSSD es una de las fuentes y un cambio hecho en el directorio (una nueva pertenencia a un grupo, una cuenta deshabilitada) no se refleja, la causa suele ser la cache de SSSD y no el orden de consulta: sss_cache -E (como root) hace caducar todas las entradas en cache de todos los dominios configurados, de modo que la siguiente consulta vuelve al proveedor en lugar de devolver un registro obsoleto de la cache. sss_cache -u <user> afecta solo a un usuario en lugar de a toda la cache.
5. Confirme la corrección: vuelva a ejecutar getent passwd alice (o id alice) y revise el campo o la pertenencia a grupo que estaba obsoleto.

Resultado esperado

getent passwd <name> e id <name> reflejan el estado actual del directorio en una sola consulta tras sss_cache -E, sin necesidad de reiniciar el servicio sssd. Las sesiones que ya estaban abiertas conservan su lista de grupos anterior hasta que el usuario vuelva a iniciar sesión.

Límites y base de verificación

getent passwd sin nombre normalmente lista solo los usuarios locales, porque SSSD no enumera por defecto los usuarios del directorio; consulte siempre un nombre concreto. getent solo informa de lo que resuelve NSS: si files precede a sss en nsswitch.conf y existe una entrada local obsoleta o conflictiva para el mismo nombre, esa entrada prevalece y para ese nombre nunca se consultan los datos del directorio. sss_cache -E hace caducar las entradas de la cache para que la siguiente petición se verifique contra el proveedor, pero no contacta por sí mismo con el proveedor, así que debe seguirle una consulta para ver los datos actualizados; y si el proveedor no está accesible en ese momento, SSSD aún puede servir el valor de la cache (ya marcado como obsoleto), según su configuración de cache sin conexión.