Про FreeIPA я только сейчас услышал, а вот 389-DS пользую. В нем есть очень приятная штука - система репликации. То есть можно устроить (при желании) отказоустойчивый LDAP-кластер. Или разнести территориально LDAP-сервера. Они будут самосинхронизироваться, а юзера будут работать с ближайшим сервером. Это плюс.

В минус - предлагаемая в 389-DS ldap-схема несколько отличается от схемы openLDAP. И, например, прикрутить к ней самбу несколько нетривиально. Я покувыркался в свое время и плюнул на это занятие. Не такая у меня большая сеть, чтобы smb-юзерей в LDAP запихивать. Так он у меня и живет в режиме телефонного справочника.