Приветствую.

  А кто у нас создаёт LDAP базу домена?

  И кого просить выставлять умолчальные права на shadowLastChange
аналогично правам на userPassword?

PS: Текущая ситуация мешает как минимум eGroupWare (см.
<https://bugzilla.altlinux.org/show_bug.cgi?id=25635>).
-- 

С уважением. Алексей.