Analysons la section d'authentification de votre configuration PAM en détail.
auth sufficient pam_unix.so nullok try_first_pass
Le problème est le mot-clé sufficient combiné avec nullok. Quand pam_unix.so est marqué comme sufficient avec nullok, si le module ne peut pas vérifier le mot de passe (car l'utilisateur n'existe pas localement), il retourne une réponse non concluante qui est interprétée comme un succès par la pile PAM.
La solution est de réorganiser vos modules PAM pour que pam_winbind.so (ou pam_sss.so) soit vérifié en premier pour les utilisateurs du domaine, et de retirer nullok de pam_unix.so.
