Serveur de paie : connexions Kerberos refusées et API RH « certificat pas encore valide »

Groupe Bennani Distribution (grossiste agroalimentaire, Tanger) calcule la paie de 1 200 salariés sur srv-paie-01, un serveur Debian 12 joint à l'annuaire de l'entreprise (BENNANI.LAN, SSSD + Kerberos). Chaque nuit, il récupère les absences auprès de l'API RH interne (https://api-rh.bennani.lan), dont le certificat est émis par l'autorité interne et renouvelé automatiquement.

Depuis 10:02 (heure de votre poste), deux choses cassent en même temps :

• les gestionnaires de paie ne peuvent plus ouvrir de session SSH avec leur compte d'annuaire ;
• la synchronisation avec l'API RH échoue sur une erreur de certificat.

L'équipe réseau dit que rien n'a changé. Le compte local root fonctionne. Trouvez la cause commune.