фильтр LDAP. проверка пользователия на членство в группе (0) /

T_800:
есть такая задача, требуется осуществить проверку на принадлежность {пользователя} к заданным {группам}

вариант 1:
(&(sAMAccountName=#{username})(memberOf=CN=#{groupName},OU=department,DC=domainname,DC=local))

плох тем что все группы должны лежать в одном OU. вариант добавлять все пути OU в запрос не рассматриваю


вариант 2:
(&(cn=#{groupName})(memberUid=#{username}))

тут надо заполнять memberuid - имена пользователей


есть идеи как сделать попроще ?

попутно пара вопросов:
- как то можно автоматизировать заполнение атрибута memberuid.
- кто как хранит группы безопасности в AD ? создается отдельная OU и там все хранится ? у меня сейчас группы безопасности лежат в одноименных OU. есть какие то рекомендации как грамотно организовать структуру?