显式全局用户属性规则

每个用户拥有的属性都比以前规则表中所列出的内容要多很多。您可能不需要创建引用其他这些属性的规则表达式。但如果这种需求出现，则可以使用以下语法来引用某个特定的用户属性：

%#ldap-attribute%

例如，如果必须确定用户“已挂起”字段的值，则应确定该字段相应的 LDAP 属性名称（eTSuspended），并创建评估为 0 或 1（与 eTSuspended 相同）的规则表达式：

%#eTSuspended%

还例如，您可以使用下列规则表达式获得用户的分配配给角色：

%*#eTRoleDN%

这些配给角色是 LDAP 完全可分辨名称值。也许这些值与内置函数 RDNVALUE（见下表）结合起来会更有用一些。请注意多值指示标志星号 (*)，这是为了将该用户的所有已分配配给角色获取为多个值。

子字符串语法也适用于这些规则表达式，因此您可以使用 %#eTTelephone:6,*% 来表示与 %UP:6,* 相同的意思。每个字符串都要求 CA IdentityMinder 去掉用户电话字段的前五个字符。