openldap + samba + smbldap-tools проблема с правами

Настраиваю samba 3.0.11 в качестве PDC на openldap 2.1.30, используя вот эту доку: http://samba.idealx.org/smbldap-howto.en.html

Все бы хорошо, но при попытке "ужесточить" права, т.е. перейти от общего 
пользователя (cn=Manager,dn=testdomain,dn=lab), которому позволено все, к частным (как и указано в той доке) cn=smbldap-tools,ou=DSA,dc=testdomain,dc=lab, я более не могу добавлять пользователей в ldap базу:

/usr/local/smbldap-tools/smbldap-useradd test8
failed to add entry: no write access to entry at /usr/local/smbldap-tools/smbldap-useradd line 291, <DATA> line 283.


В /etc/openldap/slapd.conf указано
access to dn="ou=Users,dc=testdomain,dc=lab"
    by dn="cn=samba,ou=DSA,dc=testdomain,dc=lab" write
    by dn="cn=smbldap-tools,ou=DSA,dc=testdomain,dc=lab" write


А в логе ldap-а видим:

slapd: conn=0 fd=10 ACCEPT from IP=127.0.0.1:55123 (IP=127.0.0.1:389)
slapd: conn=0 op=0 BIND dn="cn=smbldap-tools,ou=DSA,dc=testdomain,dc=lab" method=128
slapd: conn=0 op=0 BIND dn="cn=smbldap-tools,ou=DSA,dc=TESTDOMAIN,dc=LAB" mech=SIMPLE ssf=0
slapd: conn=0 op=0 RESULT tag=97 err=0 text=
slapd: conn=0 op=1 SRCH base="dc=testdomain,dc=lab" scope=2 filter="(&(objectClass=posixAccount)(uid=test8))"
slapd: conn=0 op=1 SEARCH RESULT tag=101 err=0 nentries=0 text=
slapd: conn=0 op=2 SRCH base="sambaDomainName=TESTDOMAIN,dc=testdomain,dc=lab" scope=0 filter="(objectClass=sambaUnixIdPool)"
slapd: conn=0 op=2 SEARCH RESULT tag=101 err=0 nentries=1 text=
slapd: conn=0 op=3 MOD dn="sambaDomainName=TESTDOMAIN,dc=testdomain,dc=lab"
slapd: conn=0 op=3 MOD attr=uidNumber
slapd: conn=0 op=3 RESULT tag=103 err=0 text=
slapd: conn=0 op=3 RESULT tag=103 err=0 text=
slapd: conn=0 op=4 SRCH base="dc=testdomain,dc=lab" scope=2 filter="(uidNumber=1018)"
slapd: conn=0 op=4 SEARCH RESULT tag=101 err=0 nentries=0 text=

slapd: conn=0 op=5 ADD dn="uid=test8,ou=Users,dc=testdomain,dc=lab"
slapd: conn=0 op=5 RESULT tag=105 err=50 text=no write access to entry
slapd: conn=0 op=5 RESULT tag=105 err=50 text=no write access to entry

^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

slapd: conn=0 op=6 SRCH base="ou=Groups,dc=testdomain,dc=lab" scope=2 filter="(&(objectClass=posixGroup)(|(cn=513)(gidNumber=513)))"
slapd: conn=0 op=6 SEARCH RESULT tag=101 err=0 nentries=1 text=
slapd: conn=0 op=7 SRCH base="ou=Groups,dc=testdomain,dc=lab" scope=2 filter="(&(objectClass=posixGroup)(|(cn=513)(gidNumber=513)))"
slapd: conn=0 op=7 SEARCH RESULT tag=101 err=0 nentries=1 text=
slapd: conn=0 op=8 SRCH base="cn=Domain Users,ou=Groups,dc=testdomain,dc=lab" scope=0 filter="(&(memberUid=test8))"
slapd: conn=0 op=8 SEARCH RESULT tag=101 err=0 nentries=0 text=
slapd: conn=0 op=9 MOD dn="cn=Domain Users,ou=Groups,dc=testdomain,dc=lab"
slapd: conn=0 op=9 MOD attr=memberUid
slapd: conn=0 op=9 RESULT tag=103 err=0 text=
slapd: conn=0 op=9 RESULT tag=103 err=0 text=
slapd: conn=0 op=10 UNBIND
slapd: conn=0 fd=10 closed


Почему же "no write access to entry", ведь в правах доступа в slapd.conf прописано, что smbldap-tools может писать в ветку ou=Users,dc=testdomain,dc=lab ? :(

Если использовать пользователя "cn=Manager,dc=testdomain,dc=lab", то добавление пользователей проходит успешно.