Wie soll sich i-doit denn auf den LDAP Server verbinden, wenn das Passwort unbekannt oder verschlüsselt ist?
Es ist zwar möglich das Passwort zu crypten und mit gegebener passphrase zu decrypten, das macht es aber nicht unmöglich das Passwort aus der DB zu lesen, da die Passphrase im i-doit Code stehen würde.

Abgesehen davon, kann nur der root bzw. i-doit DB User auf das Passwort zugreifen und es ist sinnvoller einen eigenen readonly LDAP User anzulegen, bei dem es egal ist ob das PW lesbar ist. Zumal der Lesezugriff im AD Standardmäßig sowieso Anonym möglich ist

Jein, das Reportmodul verwendet immer die Datenbank / den Mandanten, in den man sich eingeloggt hat. Standardmäßig befindet man sich also in der Sicht "eines" Mandanten.
Dadurch das das Report Modul aber SQL akzeptiert, ist es möglich in einem Statement auf andere Mandanten/Datenbanken zuzugreifen (SQL Kenntnisse sind hier aber erforderlich).