nem kell nekem szerintem csoport a csoportban, a cél első körben nagyon egyszerű: aki tagja A csoportnak, hozzáfér A szolgáltatáshoz, aki B-nek, B-hez, stb.
FreeIPA-t néztem, tetszett is, de az eredeti LDAP kérdés szempontjából (csoportból kiveszem a member sort, userben bentmarad a memberOf sor) ugyanazt produkálta.