Не знаю, в какой версии openldap слегка поломали взаимодействие демона slapd с библиотекой nss_ldap, но в 2.4.11 под FreeBSD обнаружены занятные грабли. В /etc/nsswitch.conf честно указываем, что логины и группы при отсутствии оных в базовой системе берутся из ЛДАПа, в /usr/local/etc/nss_ldap.conf указываем URI ЛДАП-серверов, базу, bind_policy soft, bind_timelimit поменьше, в общем, все, как положено. И обламываемся по полной схеме: у нас НЕТ групп. Юзеры -- есть, а групп -- нет. Зато есть матерная ругань в логах по поводу неудачного соединения с демоном.
ОКАЗЫВАЕТСЯ: для нормальной работы этой связки ТЕПЕРЬ в /usr/local/etc/nss_ldap.conf надо указывать nss_connect_policy oneshot, а не nss_connect_policy persist, как было: а) по дефолту; б) по кр. мере до последнего времени.