18.5. ACI 的限制

设置 ACI 时，会有以下限制：

如果您的目录数据库通过多个服务器分发，则以下限制适用于您可在 ACI 中使用的关键字：
- ACI 取决于使用 groupdn 关键字的组条目必须位于与组条目相同的服务器上。
  如果组是动态的，则组的所有成员都必须在服务器上有一个条目。静态组的成员条目可以位于远程服务器上。
- ACI 取决于 roledn 关键字的角色定义，必须与角色定义条目位于同一个服务器上。每个要拥有该角色的条目也必须位于同一服务器上。
但是，您可以使用 userattr 关键字将目标条目中存储的值与存储在绑定用户条目中的值匹配。在这种情况下，即使绑定用户在服务器上没有存储 ACI 的条目，也会频繁评估访问。
详情请查看第 2.3.3 节 “数据库链接和访问控制评估”。
您不能在以下 ACI 关键字中使用虚拟属性，如服务类(CoS)属性：
- targetfilter
- targattrfilters
- userattr
详情请查看第 8 章 整理和分组条目。
访问控制规则仅在本地服务器上评估。例如，如果您在 ACI 关键字的 LDAP URL 中指定服务器的主机名，则忽略 URL。