OpenLDAP: разрешить администратору, не являющемуся rootdn, устанавливать пароли для других пользователей

Я не могу понять, как настроить правильный ACL в OpenLDAP 2.4 (старый подход slapd.conf), который позволяет администратору, не являющемуся rootdn, изменять пароли других пользователей.

У меня простая структура LDAP:

    dc=vsp
       |
    dc=mgmt
     |    |
ou=People cn=admin (NOT the rootdn!!)

У меня следующий ACL:

access to attrs=userPassword
        by dn="cn=admin,dc=mgmt,dc=vsp" write
        by self write
        by anonymous auth
        by * none
access to *
        by dn="cn=admin,dc=mgmt,dc=vsp" write
        by self write
        by * read

Я проверил пароль администратора с помощью ldapwhoami - это работает.

Но изменить пароль других пользователей не удается:

[user@host ~]# ldappasswd -H ldap://[a.b.c.d]:389 -x -w xxxxxxxx -D "cn=admin,dc=mgmt,dc=vsp" "uid=jdoe,ou=People,dc=mgmt,dc=vsp" -S
New password: 
Re-enter new password: 
Result: Insufficient access (50)

Я застрял после многих часов попыток.

Спасибо, Джон