Не удается принудительно изменить пароль в OpenLDAP с наложением политики паролей

Я реализовал наложение политики паролей в OpenLDAP в стабильной версии Debian. Серверная часть и политики работают как положено. Однако после истечения срока действия я не могу заставить пользователей сменить свои пароли. Пользователь входит в систему, получает сообщение о том, что срок действия его пароля истек и его необходимо немедленно изменить. Однако, как при локальном входе, так и при входе через SSH, пользователь исключается. Клиентская сторона использует libnss_ldap, pam_ldap. pwdMustChange, pwdAllowUserChange оба установлены в true, С помощью passwd Смена паролей тоже работает как положено.

Файлы конфигурации на стороне клиента

/etc/nsswitch.conf:

passwd:         files ldap
group:          files ldap
shadow:         files 

/etc/pam.d/common-account:

account [success=2 new_authtok_reqd=done default=ignore] pam_unix.so
account [success=1 default=ignore] pam_ldap.so
account requisite pam_deny.so
account required pam_permit.so

/etc/pam.d/common-auth:

auth [success=2 default=ignore] pam_unix.so nullok_secure
auth [success=1 default=ignore] pam_ldap.so use_first_pass
auth requisite pam_deny.so
auth required pam_permit.so

/etc/pam.d/common-password:

password [success=2 default=ignore] pam_unix.so obscure sha512
password [success=1 user_unknown=ignore default=die] pam_ldap.so try_first_pass

/etc/pam.d/common-password:

session [default=1] pam_permit.so
session requisite pam_deny.so
session required pam_permit.so
session required pam_mkhomedir.so umask=0022 skel=/etc/skel
session required pam_unix.so 
session optional pam_ldap.so

/etc/libnss-ldap.conf:

base dc=testldap,dc=example,dc=com
uri ldap://192.168.56.102/
ldap_version 3
pam_lookup_policy yes
pam_password exop

/etc/pam_ldap.conf:

base dc=testldap,dc=example,dc=com
uri ldap://192.168.56.102/
ldap_version 3
pam_lookup_policy yes
pam_password exop

Есть идеи?