sudo-ldap работает только с !authenticate
Не видя конфигурационный файл, который вы изменили, трудно понять, что на самом деле произошло.
Подробная информация о команде grub2 normal:
Команда :обычный [файл]
Войдите в обычный режим и отобразите меню GRUB.
В обычном режиме команды, модули файловой системы и криптографические модули загружаются автоматически, а также доступен полный анализатор сценариев GRUB. Другие модули могут быть явно загружены с помощью insmod (, см. insmod ).
Если указан файл, то команды будут считываться из этого файла. В противном случае они будут считаны из $prefix/grub.cfg, если он существует.
normal может вызываться из обычного режима, создавая вложенную среду. Обычно используется configfile (, см. configfile )для этого.
Интересно, порядок в PAM имеет значение. Это работает, если pam _unix предшествует pam _sss:
auth sufficient pam_unix.so try_first_pass nullok
auth sufficient pam_sss.so use_first_pass
password sufficient pam_unix.so try_first_pass use_authtok nullok sha512 shadow
password sufficient pam_sss.so use_authtok