CentOS 6 + AD

Érthetetlen problémába ütköztem.

Van három AD csoport.
A csoportok mind Global és Security típusúak.
A gyökerük az AD-ben azonos (dc=valami,dc=cégnév,dc=sys) utána az első és a második egy ideig "együtt megy" és csak később válnak szét, a harmadik viszont rögtön elmegy teljesen másik ágra.
Kb. így:

cn=csoport1,ou=ou111,ou=11,ou=1,dc=valami,dc=cégnév,dc=sys
cn=csoport2,ou=ou112,ou=11,ou=1,dc=valami,dc=cégnév,dc=sys
cn=csoport3,ou=9,dc=nagyonmás,dc=mégvalami,dc=valami,dc=cégnév,dc=sys

Hozzáadtam a szervert az AD-hez.
Az /etc/ssh/sshd_config -ba felvettem a három csoport nevét:

AllowGroups "elso_csoport_neve" "masodik - csoportneve" "harmadik-csoport-neve"

Az eredmény az lett, hogy azok, akik az első és a második csoport tagjai, be tudnak ssh-zni, de amikor a harmadik csoport tagjai próbálkoznak, akkor a syslogba ez kerül:

sshd ... User ... from ... not allowed because none of user's groups are listed in AllowGroups

Már beszéltem az AD adminokkal meg mindenkivel, akivel tudtam, de senki nem lát lényegi különbséget a három csoport között.
Az a domain user, amivel beléptettem a gépet az AD-be tudja browse-olni a teljes fát, látja a csoportok tulajdonságait, stb.
A kollégák azt kérdezték, hogy egy ilyen linux vajon milyen user nevében és hogyan turkál az AD-ben a csoporttagságot keresve, de ezt én sem tudom.
Az AllowGroups-ban a csoportok sorrendje mindegy.
A kérdéses userek tagjai a csoportnak (net user /domain usernév)

Látott már valaki ilyet?