Samba 3 не может авторизоваться в домене Win 2000

Существует домен на Win2000 (ADS) Нужно ввести в домен самба с авторизацией пользователей в ADS.

ставил самбу согласно документу идущему с исходниками самбы Samba3-ByExample.pdf

Samba 3.0.20b собрана со след опциями:
./configure --with-winbind --with-winbind-auth-challenge --with-acl-support --prefix=/opt/samba --with-logfilebase=/var/samba/log --with-configdir=/etc/samba --with-privatedir=/etc/samba/private --with-ads --with-krb5=/usr/heimdal/

вот конфиг:
bash-2.05# cat /etc/samba/smb.conf
[global]
workgroup = DOMAIN1 
netbios name = SAMBASERVER
realm = DOMAIN1.NET
server string = samba server
security = ads
username map=/etc/samba/smbusers
log level = 1
syslog = 0
log file = /var/samba/log/%U_%m.log
max log size = 500

ldap ssl = no
idmap uid=10000-20000
idmap gid=10000-20000
template shell = /bin/bash

[homes]
comment = Home Directories
valid users = %S
read only = No
create mask = 0664
directory mask = 0775
browseable = No

[public]
path = /export/home/public
read only = No
browseable = Yes
public = Yes
writeable = yes
guest ok = yes

конфиг кербероса:

bash-2.05# cat /etc/krb5/krb5.conf
[libdefaults]
        default_realm = domain1.net
[realms]
        tg.net = {
        kdc = .domain1.net:88
        admin_server = win2kserver.domain1.net:749
        default_domain = domain1.net
        }
[domain_realm]
.domain1.net = DOMAIN1.NET
 domain1.net = DOMAIN1.NET
[logging]
        default = FILE:/var/krb5/kdc.log
        kdc = FILE:/var/krb5/kdc.log
        kdc_rotate = {
        period = 1d
        version = 10
}
[appdefaults]
        kinit = {
        renewable = true
        forwardable= true
        }

вот nss
bash-2.05# cat /etc/nsswitch.conf 
passwd:     files ldap
group:      files ldap



команда wbinfo -p, -t , -u , -g каждый раз отрабатывает корректно, отображает доменных пользователей, группы.

однако команда getent passwd и getent group отображает только ЛОКАЛЬНЫХ  пользователей и группы. =((

по команде kinit (если вводит правильный пароль) выводит следующее
bash-2.05# /usr/heimdal/bin/kinit -p administrator@domain1.net
administrator@domain1.net's Password: 
kinit: Password incorrect

если вводит ЗАВЕДОМО неверный, то выводит 
bash-2.05# /usr/heimdal/bin/kinit -p administrator@domain1.net   
administrator@domain1.net's Password: 
kinit: krb5_get_init_creds: Preauthentication failed

куда копать, господа?