proNovell

в конфиге
$LDAP_BDN = "o=icb";
$LDAP_Admin_Allow = array('cn=NVStat-Admin-Allow,ou=NVStat,o=icb');

NVStat-User-Deny - тоже пофигу

Куда смотреть

Смотреть в регистр букв (Название группы)
СТРОГО ОБЯЗАТЕЛЬНО соблюдать регист, так требует LDAP

Имя подразделения NVStat тоже строго так а не nVStAt или nvstat

Вот тьфу поменял icb на ICB и все заработало.

Спасибо!