Господа! Товарищи! Комрады! Помогите!

Проблема:

Есть домен на Win2K с ADS. Нужно ввести samba (3.0.20b) в домен (с аутентификацией в AD)

самбу ставил с ключами
./configure --with-winbind --with-winbind-auth-challenge --with-acl-support --prefix=/opt/samba --with-logfilebase=/var/samba/log --with-configdir=/etc/samba --with-privatedir=/etc/samba/private --with-ads --with-krb5=/usr/heimdal/ --with-pam --with-pam_smbpass

керберос клиент - heimdal

Самбу в домен ввел, пользователи из домена на самбе видны, всё пучком, на шары заходят. НО в логи сыпятся следующие сообщения:
                              [2005/10/31 18:54:52, 1] smbd/sesssetup.c:reply_spnego_kerberos(173)
Failed to verify incoming ticket!
[2005/10/31 18:54:52, 1] smbd/sesssetup.c:reply_spnego_kerberos(173)
Failed to verify incoming ticket!
[2005/10/31 18:54:53, 1] smbd/sesssetup.c:reply_spnego_kerberos(173)
Failed to verify incoming ticket!
[2005/10/31 18:54:54, 1] smbd/sesssetup.c:reply_spnego_kerberos(173)
Failed to verify incoming ticket!

klist говорит что билеты не выдавались:
bash-2.05# /usr/heimdal/bin/klist
klist: No ticket file: /tmp/krb5cc_0

kinit ругается:
1) если ввести правильный пароль то он выдает:
bash-2.05# /usr/heimdal/bin/kinit -p administrator@tg.local
administrator@tg.local's Password:
kinit: Password incorrect

2) если ввести заведомо не правльный пароль, то
bash-2.05# /usr/heimdal/bin/kinit -p administrator@tg.local
administrator@tg.local's Password:
kinit: krb5_get_init_creds: Preauthentication failed

вот мой krb5.conf:
     [libdefaults]
             default_realm = TG.LOCAL
     [realms]
             TG.LOCAL = {
                     kdc = kdc.tg.local
                     admin_server = kdc.tg.local
             }
     [domain_realm]
             .tg.local = TG.LOCAL
             tg.local = TG.LOCAL

КУДА КОПАТЬ????????????