OpenLDAP - ACL - groupOfNames

mmmm

voilà une question qui n'est pas vraiment du developpement.
Je tente le coup ici en espérant que je ne me trompe pas de lieu où poster (c tjs un peu compliqué ca :D)

voilà, j'ai un arbre LDAP archi classique avec 2 branches principales
1. ou=people
=> les comptes, chaque entrée ici est inetOrgPerson + posixAccount


2. ou=groups
=> les groupes, chaque entrée ici est de type groupOfNames
(j'aime pas le posixgroup et j'ai trouvé le principe du groupOfNames mieux foutu par design)
donc il les attributs 'member' qui disent qui fait partie du groupe
et les attributs 'owner' (s'il y en a) qui disent qui est "propriétaire" du groupe.

jusque là ca va, mais ca n'est pas qu'une représentation de bon sens. Derrière, le seul truc qui peut etre écrit dans le LDAP par qqn d'autre que admin est
son propre champ password

Je voudrais désormais construire une règle de sorte qu'un owner d'un group puisse ajouter / retirer des membres ou des owners dans ce groupe.

Je galère pour écrire cet ACL que je voudrais mettre dans slapd.conf

est-ce la bonne approche? qqn a une idée de comment écrire cette ACL? ca doit etre archi classique ca...