После запуска скринсейвера и блокировки экрана снимать её приходится паролем локального пользователя (при установке я сделал пользователя user с id=1000, потому что установщик автоматом никого не создавал), хотя в системе при этом находится доменный пользователь с другим паролем.
Заметил ещё: sudo работает только если вводить пароль локального пользователя.
Выяснил, в чем причина: настройки пользователей при установке не менял, поэтому создавался guest с uid=1000. Мой доменный пользователь был создан первым, поэтому также имел uid=1000. При входе на рабочую станцию она была уверена, что uid=1000 - это гость и никто иной. Пересоздал себе пользователя с другим uid - всё пришло в норму.