Выбор реализации LDAP

я настраивал по этой статье (или примерно такой) в свое время.
https://www.opennet.ru/base/net/openldap.txt.html

Только это будет работать не только для SSH, но и входа любым другим способом.

Из минусов LDAP: если сервер не работает, то приходится долго ждать, пока по таймауту коннекции отвалятся и поиск пойдет по локальной БД пользователей/групп/hosts.
По идее есть тонкие настройки-фильтры (типа кого искать локально, а кого на LDAP сервере) и всякие кеширующие локальные серверы (sssd, nscd). Но первые мне так и не удалось настроить, чтобы совсем исключить внешние запросы, а вторые портят жизнь кэшом (типа на LDAP сервере пользователь уже в группе, а в кеше еще нет).

389 Directory Server

Samba в роли Active Directory, не?

скорее надо выбирать исходя из свой инфраструктуры.
- Если чистый базис и всё с нуля - то openldap
- Если минимум своего вмешательства и уже предусмотренные предустановки - то можно 389 Directory Server/FreeIPA
- Если много windows - то оптимальнее samba4