>  нафиг вы это делаете, используйте стандартный прием под названием winbind

Наверное так и сделаю, видимо изначально комбинации DOMAIN_MEMBER и LDAP не работает как надо. Другой вопрос, теоретический. Зачем пихать данные idmap в LDAP? В описалове сказано что вроде как чтобы все мемберы могли использовать одну таблицу, а зачем это нужно не совсем ясно. Всё равно у меберов UIDы и GIDы будут отличаться от PDC, зачем их тогда делать одинаковыми на мемберах?