[OpenLDAP v2.4.23] Access Control List

[DPLuS]

Ik zou in openldap graag bepaalde personen rechten willen geven op een subtree, maar niet de base-node zelf.

Dus stel ik heb de volgende structuur:

code:

dc=local
 |
 - dc=test
       |
       - dc=blaat

dan wil ik dat een gebruiker wel alles kan schrijven op de CHILDREN van dc=blaat, maar dc=blaat zelf niet kunnen bewerken.

Ik heb al zitten stoeien met de volgende code, maar krijg het echter niet voor elkaar:

code:

echo "
    dn: olcDatabase={1}hdb,cn=config
    add: olcAccess
    olcAccess: to attrs=userPassword,shadowLastChange \
                by anonymous auth \
                by * none
    olcAccess: to dn.children="dc=blaat,dc=test,dc=local" \
                by dn="uid=gebruiker,dc=test,dc=local" write  \
                by * none break
    olcAccess: to dn.base="dc=blaat,dc=test,dc=local" \
                by dn="uid=gebruiker,dc=test,dc=local" read \
                by * none
    olcAccess: to * \
                by * none
" | ldapmodify -Y EXTERNAL -H ldapi:///

Want met bovenstaande query kan ik geen CHILDREN onder dc=blaat aanmaken, en dat moet ook kunnen.

Heeft iemand een idee?