Как "kdestroy" пользовательский билет в FreeIPA (LDAP 389 Directory Server)

Мы опробовали FreeIPA (LDAP 389 Directory Server) и интегрировали его в наш кластер Ambari Hadoop (HDP v3.0.1).

Мы можем добавлять пользователей и предоставлять им доступ к Hadoop с помощью команды Kinit.

Однако при удалении пользователей в графическом интерфейсе FreeIPA принципал удаляется. Участник удаленного пользователя не будет там в приглашении "kadmin", когда я делаю listprincs.

Но пользователь по-прежнему будет иметь действительный билет, когда он сделает "klist" и сможет получить доступ к Hadoop, даже если основной участник удален. Мы не можем делать "квесторы" вручную. Как правило, когда пользователи удаляются во FreeIPA, те же пользователи не должны иметь доступ к Hadoop.

Не может ли FreeIPA справиться с кдестрой?

Пожалуйста, предоставьте ваши предложения.

Спасибо,

Shesh