Отвечая на ваш вопрос - синхронизация паролей в такой схеме - это штатная опция IPA, через утилиту PasswordSync для 389ds

https://docs.fedoraproject.org/en-US/Fedora/15/html/FreeIPA_Guide/pass-sync.html подробности тут. Наша статья добавляет к штатному механизму - возможность наладить синхронизацию групп, чего очень не хватает в winsync.