Samba и сложное ограничение доступа

[Покотиленко Костик <casper@meteor.dp.ua>]

Есть задачка для организации разграничения доступа к файлам по samba'е:

Представим такую структуру организации (кто бы мог подумать):

           Н
           |
        _______
      /         \
   НО1    ...    НОn
   / \           / \
С1.1 С1.2 ... Сn.1 Сn.2

где: Н - начальник, НОi - начальник отдела i, Ci.j - сотрудник j отдела
i.

- у каждого начальника и сотрудника есть домашние папки, доступ в
которую имеет владелец и все вышестоящие начальники;
- у каждого отдела есть папка с шаблонами, сотрудники отдела могут
только читать, вышестоящие начальники имеют полный доступ;
- у каждого отдела есть папка обмена, сотрудники отдела и вышестоящие
начальники имеют полный доступ;
- общая папка с шаблонами, все только читают, главный начальник имеет
полный доступ;
- общая папка обмена, все творят что хотят.

Из основных условий задачи хочется отметить:
- централизированное управления (желательно вэб-интерфейс);
- минимальные трудозатраты на обслуживание, так как пользователей будет
много (~150), и меняться они могут довольно часто.

Думаю в сторону LDAP и, может быть, selinux. Подскажите как это лучше
сделать. Если бы можно было группы в группы вкладывать всё решилось бы
просто.

-- 
Покотиленко Костик <casper@meteor.dp.ua>