Какой терминальный сервер под linux дружит с AD?

Любой. Потому, что юзеров из базы берет SSSD и сдаёт их в PAM, аутентификация (блджад, аутентификация, не авторизация!) через kerberos, а сквиду пофиг с какого лдапа брать конфиг, была бы схема нормальная. Я прикручивал к AD и centos, и федору, и убунту

я использовал pam(pam_mount), для того, чтобы монтировать сетевые ресурсы по аутентификации, там клался файл xml, и чуть мне программист допиливал pam_mount, тк в федорке 20 он чтот сломан чтоль был, не пахал до допила. С SSSD я тогда вообще не подружился, удалял его, ставил аутоконфиг и тот уже цеплялся к ад.

FreeIPA/SSSD

С SSSD я тогда вообще не подружился

Ну если руки из жопы, то извиняйте - тут уже ничем не помочь.

я это в 2013 делал, тогда sssd был в бэте.

я это в 2013 делал, тогда sssd был в бэте.

О-ля-ля. В редхатах версия 1.5 с середины 2011 года, всё что надо (ldap, krb5) она уже поддерживала, тогда же (в 2011) я прикрутил его на машину в порядке эксперимента.

а чем sssd лучше стандартной связки winbind+kerberos+samba?

Он более «адаптивен» (количество «крутилок» в нём позволяет его загнуть на любую схему), лучше конфигурируется, лучше диагностируется, его можно заставить ходить на несколько серверов/доменов, и он более предсказуем по поведению.

и 2000 правок к selinux для его работы?

В каком месте 2000? Там всех файлов для демона /etc/sssd, /var/lib/sss.