LDAP Bind-User unter Samba4 anlegen

Hi, ich habe einige Dienste, die ihre Benutzer aus LDAP (Samba4) auslesen sollen. Da Samba4 bzw. Active Directory kein anonymous bind unterstützt, frage ich mich nach dem "Best Practice" für solche Konten. Bislang sammle ich die Bind-User in gesonderten Gruppen und setze "darf Kennwort nicht ändern" sowie "Kennwort läuft nicht ab". In der Konfiguration der jeweiligen Dienste (tomcat, icingaweb2, automount, ...) werden die Credentials aber im Klartext hinterlegt. Wie legt Ihr solche Konten an um den Bind-Usern so wenig Rechte wie möglich einzuräumen und die Dienstekonfiguration so sicher wie möglich? Kennt jemand ein gute HowTo? Grüße Thorsten