Tạo nhóm quản trị viên OpenLdap cụ thể trên LDAP

Tôi đang cố gắng tạo một nhóm quản trị viên cụ thể đơn giản trên máy chủ OpenLdap đang chạy tát. Hiện tại không có tệp slapd và tôi đang làm việc với định dạng cn=config.

Tôi muốn tạo một nhóm có người dùng trong đó, người này chỉ có thể quản lý những gì trong nhóm này hoặc bên dưới.

Ví dụ:

dn: olcDatabase={1}mdb,cn=config
changetype: sửa đổi
thay thế: olcAccess
olcAccess: tới dn.subtree="cn=cry,ou=groups,dc=example,dc=org"
  bởi dn.exact="cn=dupont,ou=users,dc=example,dc=org" viết
  bởi * không
olcAccess: tới attrs=userPassword,shadowLastChange
  tự viết
  by group.exact="cn=cry,ou=groups,dc=example,dc=org" viết
  bởi ủy quyền ẩn danh
  bởi * xác thực
truy cập olc: đến *
  tự đọc
  by group.exact="cn=cry,ou=groups,dc=example,dc=org" viết
  bởi * không

Nhưng hiện tại, mã này cấp quyền truy cập vào tất cả LDAP.

Tôi có bỏ lỡ điều gì không? Có phải là cách dễ dàng hơn để đạt được điều này?