Problem mit Cisco ASA 5500 und LDAP Gruppen Authentifizierung

Hallo zusammen,

ich habe ein Problem mit einer Cisco ASA 5500.
Ich will, dass sich die VPN User an einem externen LDAP Server authentifizieren.

Im LDAP Baum gibt es die Gruppe VPN.
Jeder User welcher Zugriff übers VPN in das interne Netz benötigt, wird Mitglied dieser Gruppe.
Dann kann sich dieser User mit seinem Namen und PW authentifizieren.
Wenn ich ihm die Gruppenberechtigung wieder wegnehme, dann soll er keinen Zugriff aufs VPN Netz haben.

Ist soetwas möglich?
Wenn ja wie?

Viele Grüße
Martin