Несколько значений passwordStorageScheme для одного пользователя на 389ds / FreeIPA

Я развернул решение для идентификации FreeIPA, которое поддерживается сервером каталогов 389.

Из-за необходимости периодической синхронизации паролей пользователей с другой платформой (Google Apps for Work) мне нужно, чтобы схемы хранения учетных записей пользователей были SHA1, а не SSHA (соленый SHA).

Я мог бы легко переключить passwordStorageScheme на SHA, но я не знаю, полагается ли IPA на пароль SSHA, и я бы что-то сломал, поэтому:

• Могу ли я «с радостью» переключиться с SSHA на SHA passwordStorageScheme, ничего не нарушая?
• Вместо этого могу ли я настроить 389 для сохранения дополнительного хэша в настраиваемом атрибуте (скажем, «userPasswordSHA») каждый раз при изменении пароля, чтобы я мог легко избавиться от обоих?