異なる組織単位 (OU) 間で特定の DN を移動するための openldap グループの ACL

Question

うまくいかないようです。グループ には多数のユーザーがおり、からcn=noc,ou=groups,dc=company,dc=comの間でリストを移動できるはずです。ou=internalLists,ou=mail,ou=service,dc=company,dc=comou=externalLists,ou=mail,ou=service,dc=company,dc=com

そのリストの DN は次のとおりです。

cn=mylist,ou=internalLists,ou=mail,ou=service,dc=company,dc=com

ou=mail,ou=service,dc=company,dc=comこれはサブツリーに対して持っている ACL です:

access to dn.subtree="ou=externalLists,ou=mail,ou=service,dc=company,dc=com"
       by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
       by * break


access to dn.subtree="ou=internalLists,ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
        by * break


access to dn.subtree="ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=ops,ou=Groups,dc=company,dc=com" write
        by * read

上記の ACL は機能しますが、グループ 'noc' に他のリストを移動するためのアクセス権も付与します。これを 1 つのリスト (cn=mylist) だけに制限したいのです。そこで、次の操作を試しました。

access to dn.subtree="ou=externalLists,ou=mail,ou=service,dc=company,dc=com"
       filter="(cn=mylist)"
           by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
           by * break


access to dn.subtree="ou=internalLists,ou=mail,ou=service,dc=company,dc=com"
        filter="(cn=mylist)"
            by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
            by * break


access to dn.subtree="ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=ops,ou=Groups,dc=company,dc=com" write
        by * read

「アクセス権が不十分です」というエラーが表示されます。何が間違っているのでしょうか?