Я хочу добавить ACL для дочерней организации в свой OpenLDAP.

Это их документация по ACL: https://www.openldap.org/doc/admin24/access-control.html

Я использую ldapmodify для обновления базы данных ldap на работающем экземпляре OpenLDAP.

Это ldif файл, который я импортировал:

vim ro_access.ldif

dn: olcDatabase={1}mdb,cn=config
changetype: modify
add: olcAccess
olcAccess: {2}to dn.children="ou=users,dc=example,dc=com" by dn.exact="cn=workstation,ou=applications,dc=example,dc=com" read

Я жду

• имеет cn=workstation,ou=applications,dc=example,dc=com уметь читать детям младше ou=users,dc=example,dc=com
• имеет auth чтобы иметь предыдущее поведение по умолчанию.
• имеет anonymous чтобы иметь предыдущее поведение по умолчанию.

у меня есть

• ldapwhoami работаю с cn=workstation,ou=applications,dc=example,dc=com
• ldapsearch не возвращающий результат uid=someone,ou=users,dc=example,dc=com с участием cn=workstation,ou=applications,dc=example,dc=com

редактировать

Я пытался заменить olcAccess {1} с участием {2} и {2} с участием {1}.

Это полностью замененный ACL, и он тоже не работает:

dn: olcDatabase={1}mdb,cn=config
changetype: modify
replace: olcAccess
olcAccess: {0}to attrs=userPassword,shadowLastChange by self write by dn="cn
 =admin,dc=example,dc=com" write by dn="cn=ropw,dc=example,dc=co
 m" read by anonymous auth by * none 
olcaccess: {1}to dn.children="ou=users,dc=example,dc=com" by dn
 .exact="cn=workstation,ou=applications,dc=example,dc=com" read
olcaccess: {2}to * by self write by dn="cn=admin,dc=example,dc=com" write
  by dn="cn=ro,dc=example,dc=com" read by dn="cn=ropw,dc=exam
 ple,dc=com" read by * none 

Любая идея, почему?