Настроить пакет SSSD для исправления Microsoft (см. LDAPS / tls)

Я собираюсь изменить конфигурацию некоторых машин Ubuntu, которые используют пакет SSSD для привязки к AD. Насколько я понимаю, все запросы ldap должны проходить через TSL из конфигурации ниже.

Трудно провести тщательное тестирование, поскольку наш действующий AD довольно загружен, и по нему трудно отчитаться в режиме реального времени. У нас есть только расплывчатые отчеты, которые собираются каждые несколько часов, которые по-прежнему указывают на мою тестовую машину как на проблему.

Я наблюдал за tcpdump, там все еще есть нечетные биты информации в виде открытого текста, но ничего важного, только обновляемые местоположения серверов AD и метаданные. Кажется, это просто произвольная информация, сообщающая о рекламных серверах при перезапуске sssd.service.

Если кто-нибудь может дать какой-либо совет, как обеспечить работу sssd против грядущего патча Microsoft, я был бы очень благодарен.

[sssd]
domains = example.com
config_file_version = 2
services = nss, pam

[domain/example.com]
ad_domain = example.com
krb5_realm = example.com
realmd_tags = manages-system joined-with-adcli
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
rdns = false
dyndns_update_ptr = false
use_fully_qualified_names = False
#fallback_homedir = /home/%u@%d
access_provider = ad
override_homedir = /home/example/%u
ad_gpo_map_permit = +polkit-1
dyndns_update = True
default_domain_suffix = example.com
ignore_group_members = True

ldap_id_mapping = True
ldap_access_filter = (objectClass=user)

#ldap_uri = ldaps://example.com:636
ldap_uri = ldaps://example.com

ldap_search_base = DC=example,DC=com

# The file containing CA certificates you want sssd to trust.
ldap_tls_cacert = /etc/pki/rootCA.pem

# The TLS ciphers you wish to use. SSSD uses OpenSSL style cipher
# suites
ldap_tls_cipher_suite = HIGH

ldap_sasl_mech = GSSAPI
ldap_tls_reqcert = demand