nss_ldap для пользователей, которые заведены в ldap ищет только первичную группу, например вот реакция на команду "id test":

Sep 14 18:02:15 celica slapd[11503]: conn=0 fd=11 ACCEPT from IP=10.104.1.11:61803 (IP=0.0.0.0:389)
Sep 14 18:02:15 celica slapd[11503]: conn=0 op=0 BIND dn="" method=128
Sep 14 18:02:15 celica slapd[11503]: conn=0 op=0 RESULT tag=97 err=0 text=
Sep 14 18:02:15 celica slapd[11503]: conn=0 op=1 SRCH base="ou=users,dc=forester,dc=samba,dc=mnx,dc=net,dc=ru" scope=1 deref=0 filter="(&(objectClass=posixAccount)(uid=test))"
Sep 14 18:02:15 celica slapd[11503]: conn=0 op=1 SRCH attr=uid userPassword uidNumber gidNumber cn homeDirectory loginShell gecos description objectClass shadowLastChange shadowMax shadowExpire
Sep 14 18:02:15 celica slapd[11503]: conn=0 op=1 SEARCH RESULT tag=101 err=0 nentries=1 text=
Sep 14 18:02:15 celica slapd[11503]: conn=0 op=2 UNBIND
Sep 14 18:02:15 celica slapd[11503]: conn=0 fd=11 closed
Sep 14 18:02:15 celica slapd[11503]: conn=1 fd=11 ACCEPT from IP=10.104.1.11:64229 (IP=0.0.0.0:389)
Sep 14 18:02:15 celica slapd[11503]: conn=1 op=0 BIND dn="" method=128
Sep 14 18:02:15 celica slapd[11503]: conn=1 op=0 RESULT tag=97 err=0 text=
>Sep 14 18:02:15 celica slapd[11503]: conn=1 op=1 SRCH base="ou=groups,dc=forester,dc=samba,dc=mnx,dc=net,dc=ru" scope=1 deref=0 filter="(&(objectClass=posixGroup)(gidNumber=10001))"

Sep 14 18:02:15 celica slapd[11503]: conn=1 op=1 SRCH attr=cn userPassword memberUid uniqueMember gidNumber
Sep 14 18:02:15 celica slapd[11503]: conn=1 op=1 SEARCH RESULT tag=101 err=0 nentries=1 text=
>Sep 14 18:02:15 celica slapd[11503]: conn=1 op=2 SRCH base="ou=groups,dc=forester,dc=samba,dc=mnx,dc=net,dc=ru" scope=1 deref=0 filter="(&(objectClass=posixGroup)(gidNumber=10001))"

Sep 14 18:02:15 celica slapd[11503]: conn=1 op=2 SRCH attr=cn userPassword memberUid uniqueMember gidNumber
Sep 14 18:02:15 celica slapd[11503]: conn=1 op=2 SEARCH RESULT tag=101 err=0 nentries=1 text=
Sep 14 18:02:15 celica slapd[11503]: conn=1 fd=11 closed (connection lost)

а для локальных пользователей (из /etc/passwd) всё нормально:
Sep 14 18:02:40 celica slapd[11503]: conn=2 fd=11 ACCEPT from IP=10.104.1.11:64698 (IP=0.0.0.0:389)
Sep 14 18:02:40 celica slapd[11503]: conn=2 op=0 BIND dn="" method=128
Sep 14 18:02:40 celica slapd[11503]: conn=2 op=0 RESULT tag=97 err=0 text=
>Sep 14 18:02:40 celica slapd[11503]: conn=2 op=1 SRCH base="ou=groups,dc=forester,dc=samba,dc=mnx,dc=net,dc=ru" scope=1 deref=0 filter="(&(objectClass=posixGroup))"

Sep 14 18:02:40 celica slapd[11503]: conn=2 op=1 SRCH attr=cn userPassword memberUid uniqueMember gidNumber
Sep 14 18:02:40 celica slapd[11503]: conn=2 op=1 SEARCH RESULT tag=101 err=0 nentries=6 text=
>Sep 14 18:02:40 celica slapd[11503]: conn=2 op=2 SRCH base="ou=groups,dc=forester,dc=samba,dc=mnx,dc=net,dc=ru" scope=1 deref=0 filter="(&(objectClass=posixGroup)(gidNumber=10003))"

Sep 14 18:02:40 celica slapd[11503]: conn=2 op=2 SRCH attr=cn userPassword memberUid uniqueMember gidNumber
Sep 14 18:02:40 celica slapd[11503]: conn=2 op=2 SEARCH RESULT tag=101 err=0 nentries=1 text=
Sep 14 18:02:40 celica slapd[11503]: conn=2 fd=11 closed (connection lost)

настраивал по шпаргалке http://rrv.jino-net.ru/Samba3.htm - где мог накосячить? FreeBSD 7.0, соседний сервер на 6.1 работает нормально с той же версией nss_ldap и абсолютно с такими же конфигами.