LDAP에서 루트 비밀번호 변경 방지 - debian

Debian에서 pam을 사용하여 LDAP 인증을 설정한 후 모든 것이 잘 작동합니다. 현재 사용자의 LDAP 비밀번호를 변경하려면 passwd 명령을 사용하십시오.

문제는 내 LDAP가 "관리자" 계정과 관리자 권한이 있는 "루트" 계정으로 설정되었다는 것입니다. 역사적인 이유로 이를 변경할 수 없습니다.

LDAP 비밀번호가 아닌 루트의 로컬 비밀번호만 변경하도록 passwd에 어떻게 알릴 수 있습니까?

Pam 구성은 다음과 같습니다.

account sufficient pam_ldap.so
account sufficient pam_unix.so try_first_pass
account [success=2 new_authtok_reqd=done default=ignore]        pam_unix.so
account [success=1 default=ignore]      pam_ldap.so
account requisite                       pam_deny.so
account required                        pam_permit.so
auth sufficient pam_ldap.so
auth required pam_unix.so nullok_secure try_first_pass

auth    [success=2 default=ignore]      pam_unix.so nullok_secure
auth    [success=1 default=ignore]      pam_ldap.so use_first_pass
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so
password sufficient pam_ldap.so
password required pam_unix.so nullok obscure min=4 max=8 md5 try_first_pass
password        [success=2 default=ignore]      pam_unix.so obscure sha512
password        [success=1 user_unknown=ignore default=die]     pam_ldap.so use_authtok try_first_pass
password        requisite                       pam_deny.so
password        required                        pam_permit.so

session [default=1]                     pam_permit.so
session requisite                       pam_deny.so
session required                        pam_permit.so
session required        pam_unix.so
session optional                        pam_ldap.so
session optional                        pam_ck_connector.so nox11
session required pam_mkhomedir.so skel=/etc/skel/ umask=0022

session [default=1]                     pam_permit.so
session requisite                       pam_deny.so
session required                        pam_permit.so
session required        pam_unix.so
session optional                        pam_ldap.so