Права на LDAP

Вот еще какой вопрос:

Нужно дать определенному польтзователю возможность читать/менять содержимое нескольких полей в LDAP всем пользователям CGP. Всем остальным эти поля должны быть недоступны ни по записи, ни по чтению. Больше ему никаких прав давать нельзя (или очень нежелательно). Сейчас родилось решение: дать ему право "Basic settings", поотключать все сервисы кроме LDAP, и добавить правила в Directory->Access:

Target: *
BindDN: uid=user,cn=our.domain
allow:

	Modify: field2, field2
	Read:   field2, field2

Target: *
BindDN: *
prohibit:

        Modify: field2, field2
        Read:   field2, field2

Target: *
BindDN: uid=user,cn=our.domain
prohibit:

        Modify: *

-+--------

Это правильно ?
Чем мы рискуем в случае утечки пароля этого юзера ? Получено Fri Dec 17 14:17:35 2004