PAM + samba

[sax_on]

Witam,
mam problem z konfiguracją samby jako członka domeny NT.

Ogólnie problem polega na tym iż nie wiem jak odpowiednio skonfigurować PAMa.

Autentykacja odbywa się poprawine - tzn do konsoli linuxa potrafię się zalogować jako

DOMENA+uzytkownik
tworzy mi się z automatu katalog domowy i wszystko niby śmiga.
Ale już na użytkownika który wcześniej został stworzony lokalnie na linuxie nie da się zalogować (włącznie z userem root!!!! )
podczas logowania wyrzuca mi błąd :
Error i service module

Samba dziala poprawnie tzn widać urostępnione zasoby tj homes i katalog domowy usera.
Co ciekawe w domenie w logach widać wpis dla tego usera :
"
....
Service Ticket Granted
"
w logach samby:

.....
Aug 23 09:20:06 SAMBA pam_winbind[2330]: request failed, but PAM error 0!
Aug 23 09:20:06 SAMBA pam_winbind[2330]: internal module error (retval = 3, user = `root')
Aug 23 09:20:06 SAMBA login[2330]: Error in service module
......
Aug 23 09:26:32 SAMBA pam_winbind[2339]: user 'DOMENA+user' granted access
Aug 23 09:26:32 SAMBA pam_winbind[2339]: user 'DOMENA+user' OK
Aug 23 09:26:32 SAMBA pam_winbind[2339]: user 'DOMENA+user' granted access
Aug 23 09:26:32 SAMBA login[2339]: (pam_unix) session opened for user DOMENA+user by (uid=0)
.....

Pytanie jak powinien  wyglądać prawidłowo skonfigurowany pam tak aby obsługiwał konta lokalne jak i te z AD

aktualne konfiguracje PAM.

# /etc/pam.d/common-account
account   required   pam_unix.so
account   required   pam_winbind.so

# /etc/pam.d/common-password - password-related modules common to all services
password   required   pam_unix.so nullok obscure min=4 max=8 md5

# login -  The PAM configuration file for the Shadow `login' service
auth       requisite  pam_securetty.so
auth       requisite  pam_nologin.so
auth   sufficient pam_winbind.so
session       required   pam_env.so readenv=1
session       required   pam_env.so readenv=1 envfile=/etc/default/locale
@include common-auth
auth       optional   pam_mail.so
session    required   pam_limits.so
session    optional   pam_lastlog.so
session    optional   pam_motd.so
session    optional   pam_mail.so standard
@include common-account
@include common-session
@include common-password

Czy ktos ma pomysł jak to rozwiązać ?