Как в FreeIPA убрать возможность для юзеров менять чужие пароли?

Да. Обычний юзер, без групп и ролей

Darcloud, очень-очень странно.
Я с IPA работал лет пять назад, он еще был довольно сырой, но такой баг?!
Вы его с нуля поднимали? Хотя мне даже трудно представить что за настройка может разрешить обычному юзеру такое делать...
Напишите когда разберетесь.