Что могло заставить OpenLDAP игнорировать ограничения доступа?

Я пытаюсь настроить новую установку OpenLDAP (2.6.39) в Arch Linux. Я использовал базовые пакеты по умолчанию для его установки и настройки, однако я не могу заставить его подчиняться никаким декларациям контроля доступа в файле настроек.

Мой /etc/openldap/slapd.conf есть только эти два объявления, которые я получил из документов:

access to attr=userPassword
    by self =xw
    by anonymous auth
    by * none

access to *
    by self write
    by users read
    by * none

Я запустил службу в обычном режиме, и, похоже, все работает. Я могу войти в систему с помощью pam / nslcd и использовать phpldapadmin. Однако указанные выше ограничения доступа, похоже, не работают. Из phpldapadmin я смог увидеть и изменить поле пароля для пользователей, отличных от того uid, с которым я подключился. То же самое происходит с клиентом командной строки (вывод обрезан):

$ ldapsearch -D 'uid=user2,ou=People,dc=example,dc=com' -w 1234 '(uid=user1)'
userPassword:: e1NTSEF9VEZ4K2U1M0JtUEU0NkljdlBPaTBycE41RTh2aXJNeTg=

Как видите, я аутентифицируюсь с помощью user2, но могу запросить запись для user1 и увидеть поле пароля.

Другие декларации в slapd.conf явно действуют, поэтому я не редактирую неправильный файл или что-то в этом роде. Я пробовал устанавливать драконовские правила вроде access to * by * none как единственное правило, но я все еще могу видеть что-либо в каталоге от любого пользователя. Я помещаю линии доступа на то место в конфигурации по умолчанию, где были образцы.

Как заставить OpenLDAP действительно учитывать acl в своем файле конфигурации, а не игнорировать их?