ACL für OpenLDAP, eine Gruppe zum Verschieben eines bestimmten DN zwischen verschiedenen Organisationseinheiten (OU)

Question

Ich kriege das einfach nicht hin. Ich habe eine Reihe von Benutzern in einer Gruppe, cn=noc,ou=groups,dc=company,dc=comdie in der Lage sein sollten, eine Liste zwischen zu ou=internalLists,ou=mail,ou=service,dc=company,dc=comverschieben ou=externalLists,ou=mail,ou=service,dc=company,dc=com.

Der DN für diese Liste lautet:

cn=mylist,ou=internalLists,ou=mail,ou=service,dc=company,dc=com

Dies sind die ACLs, die ich für ou=mail,ou=service,dc=company,dc=comden Teilbaum habe:

access to dn.subtree="ou=externalLists,ou=mail,ou=service,dc=company,dc=com"
       by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
       by * break


access to dn.subtree="ou=internalLists,ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
        by * break


access to dn.subtree="ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=ops,ou=Groups,dc=company,dc=com" write
        by * read

Die oben genannten ACLs funktionieren, aber sie geben der Gruppe „noc“ auch Zugriff, um andere Listen zu verschieben. Ich möchte es nur auf diese eine Liste beschränken (cn=mylist). Also habe ich Folgendes versucht:

access to dn.subtree="ou=externalLists,ou=mail,ou=service,dc=company,dc=com"
       filter="(cn=mylist)"
           by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
           by * break


access to dn.subtree="ou=internalLists,ou=mail,ou=service,dc=company,dc=com"
        filter="(cn=mylist)"
            by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
            by * break


access to dn.subtree="ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=ops,ou=Groups,dc=company,dc=com" write
        by * read

Dadurch erhalte ich die Fehlermeldung „Unzureichender Zugriff“. Was mache ich falsch?