第 12 章 管理访问控制指令

只有包含 ACI 的条目（如果它没有任何子条目）例如，如果客户端需要访问 uid=user_name,ou=People,dc=example,dc=com 对象，而 ACI 仅在 dc=example,dc=com 上设置，而不适用于任何子条目，仅应用此 ACI。

如果条目含有 ACI 以及以下所有条目，则将其在所有条目中。因此，当服务器评估对任何给定条目的访问权限时，它会验证一个请求和目录后缀之间的每个条目的 ACI，以及条目本身的 ACI。

例如，在 dc=example,dc=com 和 ou=People,dc=example,dc=com 条目中设置了 ACI：如果一个客户端要访问 uid=user_name,ou=People,dc=example,dc=com 对象，它没有设置 ACI，Directory Server 会首先验证 ou=People,dc=example,dc=com 条目中的 ACI。如果这个 ACI 授予访问权限，则评估会停止并授予访问权限。如果没有，Directory 服务器会验证 ou=People,dc=example,dc=com 上的 ACI。如果这个 ACI 成功授权客户端，它可以访问该对象。