Jak wyłączyć zmianę hasła dla użytkownika OpenLDAP?

Przyglądając się możliwym rozwiązaniom niektórych ulepszeń, natrafiłem na to teoretyczne pytanie i nie mogłem znaleźć satysfakcjonującej odpowiedzi. Niektórzy z was mogą mieć bezpośrednie doświadczenie z tym w praktyce, więc oto pytanie:
Jak wyłączyć zmianę hasła dla użytkownika OpenLDAP?
Konto musi pozostać włączone i mieć możliwość logowania się do stacji roboczych oraz normalnego działania, ale nie może mieć możliwości zmiany własnego hasła. To może być zrobione? Jeśli tak, jak trudne jest to wdrożenie?
Wszelkie sugestie są mile widziane!
Dla porównania, serwery i stacje robocze muszą działać pod kontrolą FreeBSD i OpenBSD. Konta z wyłączeniem hasła to konta studenckie lub zwykłe stacje robocze. Środa to szkoła.