diseño arbol de directorios

Hola que tal!

Ni falta hace decir k soy nueo en el foro y que no se mucho sobre LDAP. He estado leyendo artuculos sobre servidores LDAP pero mi dañado cerebro no alcanza a entender algunas cosas.

Mi problema es que tengo que implementar un servidor LDAP para autentificacion single Sign On, es decir, autentificacion para los usuarios que quieren ingresar a la internet, y a las aplicaciones existentes mediante LDAP.

He hecho el diseño del arbol, pero no estoy muy seguro si lo he estoy haciendo bien, ya que lo he diseñado de la sig. manera:

com
/
empresa
/ / /
Personas Aplicaciones Grupos

Donde se supone que en personas estaran todos los usuarios, en Aplicacones las aplicaciones que existen en la empresa e internet, y en grupos, si es adminisrador o usuario normal.

Mi pregunta es si este diseño puede ser implementado en LDAP y es correcto, y si es asi, como le hago para que cuando un usuario, validar a que aplicaciones tiene acceso (todos tienen acceso a internet, pero no a todas las aplicaciones), es decir, como relaciono una rama con otra.

Espero alguien me pueda orientar sobre esto que ando un poco perdido.
Gracias.