аутентификацию нужно сменить на local:
system-auth write local
realm leave firma.zn сама это сделала. Правда никакого запроса пароля администратора не было. В целом, наверно, команда отработала, но ошмётки в sssd.conf, krb5.conf остались, также не почистился кэш sssd. Если честно, то вообще непонятно, что тогда она сделала, только write local и выполнила, наверно.