ACL para openldap un grupo para mover un DN específico entre diferentes unidades organizativas (OU)

Question

Parece que no puedo hacer esto bien. Tengo un grupo de usuarios en un grupo cn=noc,ou=groups,dc=company,dc=comque deberían poder mover una lista ou=internalLists,ou=mail,ou=service,dc=company,dc=comentre ou=externalLists,ou=mail,ou=service,dc=company,dc=com.

El DN de esa lista es:

cn=mylist,ou=internalLists,ou=mail,ou=service,dc=company,dc=com

Estas son las ACL que tengo para ou=mail,ou=service,dc=company,dc=comel subárbol:

access to dn.subtree="ou=externalLists,ou=mail,ou=service,dc=company,dc=com"
       by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
       by * break


access to dn.subtree="ou=internalLists,ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
        by * break


access to dn.subtree="ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=ops,ou=Groups,dc=company,dc=com" write
        by * read

Las ACL anteriores funcionan pero también le dan al grupo acceso 'noc' para mover otras listas. Solo quiero que se restrinja a esa única lista (cn=mylist). Entonces, probé lo siguiente:

access to dn.subtree="ou=externalLists,ou=mail,ou=service,dc=company,dc=com"
       filter="(cn=mylist)"
           by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
           by * break


access to dn.subtree="ou=internalLists,ou=mail,ou=service,dc=company,dc=com"
        filter="(cn=mylist)"
            by group/groupOfUniqueNames/uniqueMember="cn=noc,ou=Groups,dc=company,dc=com" write
            by * break


access to dn.subtree="ou=mail,ou=service,dc=company,dc=com"
        by group/groupOfUniqueNames/uniqueMember="cn=ops,ou=Groups,dc=company,dc=com" write
        by * read

Esto me da el error "Acceso insuficiente". ¿Qué estoy haciendo mal?