> А что FreeIPA уже умеет OU? Ах нет... Ну извините...

ОргЮниты те же самые группы, вынесенные в отдельную сущность, усложняющий поиск объекта, то есть костыль, тормозящий работу. Не зря от нее отказались почти все разработчики служб каталогов.

уже при количестве записей в домене под сотню конструкция вида
-b cn=users,dc=example,dc=com (cn=someuser)
работает быстрее, чем.
-b dc=example,dc=com (&(oblectclass=person)(cn=someuser))

Потом с костылями помучаешься, когда в разных оушках нужно на определенные группы пользователей применять одни и те же политики. Вместо того, чтобы применить политику на группу, нужно в каждой аушке создавать свою группу, на которую вешать политику.

Хотите FreeIPA с OU, берите ALDPro. Или сами расширяйте схему до OU.