LDAP - продвинутье ACL? 0

Как реализовать нужеуказаные acl с помощью regex?

access to dn.subtree=«ou=dom3,dc=system,dc=ru»

       by dn.one=«ou=admin,ou=dom3,dc=system,dc=ru» write

       by dn.children=«ou=dom3,dc=system,dc=ru» read

       by self read

       by anonymous auth

       by * none

Прошу не указывать на http://www.openldap.org/doc/admin24/access-control.html , перечитал ее 10 раз но что-то не доходить до меня и не получается.

Суть в том чтобы все которые находится в ou=dom3,dc=system,dc=ru могли читать только в свое дерево, дальше никуда, а все в ou=admin,ou=dom3,dc=system,dc=ru могли писать в тоже самое дерево. Все ето работает но как-то некрасиво и не грамотно звучить не переписывать его с regexы,..а если 50 поддерев, мне каждому отдельно прописывать :).. ?!

Делаю я вот так:

access to dn.regex="(.+,)?ou=([^,]+),dc=system,dc=ru$»

       by dn.regex=«(.+,)?$1,dc=system,dc=ru$$» read

       by dn.regex="^cn=([^,]+),ou=admin,$1,dc=system,dc=ru$$» write

       by * none