Как ограничить teamcity.users членами группы Active Directory (LDAP)?

Я пытаюсь ограничить пользователей TeamCity членами определенной группы AD (FNC_TEAMCITY_USERS). Синхронизация пользователей LDAP уже работала. В моем ldap-config.properties я изменил это:

teamcity.users.filter=(objectClass=user)

на это:

teamcity.users.filter=(&(objectClass=user)(memberOf=CN=FNC_TEAMCITY_USERS,OU=Groups,DC=group,DC=ourdomain,DC=com))

Я перезапустил службу TeamCity, и это изменение не повлияло. Все пользователи AD по-прежнему могут войти в TeamCity. Я пробовал это как на нашем экземпляре 6.5, так и на нашем экземпляре 7.0 (EAP).

Я что-то пропустил или это ошибка?