Descobrir qual fonte de identidade responde por um usuário: getent, id, nsswitch.conf e sss_cache

Objetivo

Determinar qual serviço de nomes responde por um determinado nome de usuário ou grupo em um host Linux e limpar uma entrada de cache desatualizada do SSSD, quando arquivos locais e um serviço de diretório (LDAP/SSSD/AD) estão em uso ao mesmo tempo.

Pré-requisitos

Acesso de leitura a /etc/nsswitch.conf; sss_cache instalado, caso o host use SSSD (ele vem junto com sssd-common/sssd-tools, como nas integrações de AD via realmd/SSSD).

Passos

1. Leia a ordem de consulta das contas: as linhas passwd:, group: e shadow: de /etc/nsswitch.conf listam, em ordem, as fontes a serem consultadas. No Debian/Ubuntu, o libnss-sss coloca sss depois de files; os perfis authselect da família RHEL colocaram sss antes ou depois de files, conforme a versão, portanto leia a linha real em vez de presumir. A página de manual documenta esse formato de lista de fontes por banco de dados.
2. Resolva um nome específico da mesma forma que qualquer programa do sistema faria: getent passwd alice percorre as fontes configuradas em ordem e imprime a primeira correspondência, ou nada, se nenhuma corresponder. Essa é a forma autoritativa de verificar se "este sistema enxerga esse usuário", ao contrário de usar grep diretamente em /etc/passwd, que mostra apenas a fonte local.
3. Verifique como fica uma identidade totalmente resolvida, incluindo participações em grupos que podem vir de uma fonte diferente da conta principal: id alice, que, segundo a página de manual, imprime informações de usuário e de grupo do usuário indicado, incluindo todos os IDs de grupo com -G, --groups. Isso é útil quando uma participação em grupo adicionada no lado do diretório não aparece.
4. Se o SSSD é uma das fontes e uma alteração feita no lado do diretório (uma nova participação em grupo, uma conta desativada) não aparece, a causa costuma ser o cache do SSSD, e não a ordem de consulta: sss_cache -E (como root) expira todas as entradas em cache de todos os domínios configurados, forçando a próxima consulta a voltar ao provedor em vez de devolver um registro em cache desatualizado. sss_cache -u <user> atua sobre um único usuário, em vez de todo o cache.
5. Confirme a correção: execute novamente getent passwd alice (ou id alice) e verifique o campo ou a participação em grupo que estava desatualizado.

Resultado esperado

getent passwd <name> e id <name> refletem o estado atual do diretório em uma única consulta após sss_cache -E, sem necessidade de reiniciar o serviço sssd. Sessões que já estavam abertas mantêm a lista de grupos antiga até o usuário fazer login novamente.

Limites e base de verificação

getent passwd sem um nome normalmente lista apenas usuários locais, porque o SSSD não enumera os usuários do diretório por padrão; consulte sempre um nome específico. O getent só informa o que o NSS resolve; se files vier antes de sss em nsswitch.conf e existir uma entrada local desatualizada ou conflitante para o mesmo nome, ela prevalece e nenhum dado do diretório chega a ser consultado para esse nome. O sss_cache -E expira as entradas de cache para que a próxima requisição seja verificada junto ao provedor; ele próprio não contata o provedor, por isso é preciso fazer uma consulta depois dele para ver os dados atualizados, e, se o provedor estiver inacessível nesse momento, o SSSD ainda pode servir o valor em cache (agora marcado como desatualizado), dependendo da configuração de cache offline.