s4:samldb LDB module - deny "objectSid" modifications