SSSDの設定で `ldap_sasl_mech = GSSAPI` を使用する際、Kerberosチケットの自動更新を行うために必要な設定（または前提）は何か。

Active Directory環境で、Linuxクライアント上のユーザーがパスワードを変更した際、「パスワードはポリシーの要件を満たしていません」というエラーが出た。このポリシーはどこで定義されているか。