OpenLDAP: syncrepl-ed parcial cn = config

Question

Gostaria de poder sincronizar apenas uma subárvore de cn=config , ou seja, cn=schema,cn=config :

# {0}config, config
dn: olcDatabase={0}config,cn=config
objectClass: olcDatabaseConfig
olcDatabase: {0}config
olcAccess: {0}to * by dn.exact=gidNumber=0+uidNumber=0,cn=peercred,cn=external
 ,cn=auth manage by * break
olcAccess: {1}to *  by * none
olcRootDN: cn=admin,cn=config
olcRootPW: {SSHA}just_another_secret
olcSyncUseSubentry: FALSE
olcSyncrepl: {0}rid=001 provider=ldap://provider.example.org binddn="cn=consumer
 ,dc=example,dc=org"  bindmethod=simple credentials="secret" searchbase="cn=sch
 ema,cn=config" type=refreshOnly  filter="(!(cn=*core))" interval=00:00:30:00 
 retry="5 5 30 +" timeout=1 scope=sub schemachecking=on starttls=yes

Mas, se eu definir cn=config como uma árvore de sombra (mesmo para uma subárvore, consulte searchbase ), não tenho mais permissão para modificá-la.

Meu erro é:

modifying entry "cn=config"
ldap_modify: Server is unwilling to perform (53)
    additional info: shadow context; no update referral

mesmo se eu tentar modificar o atributo 'olcLogLevel', localizado em cn=config , que é de nível superior, respeite o syncrepl -icated cn=schema,cn=config .

Qual é a maneira correta de sincronizar apenas uma subárvore de cn=config ?