按属性管理访问范围

确认规则由谁执行

动态分组是一种身份治理方法。Lime 客户端不维护组织属性和 SCIM 规则；若组织平台支持按属性分组，在该权威入口配置，并向 Lime 提供正式授权结果。

准备属性与测试成员

• 确认属性来自哪个身份提供方，谁能修改。
• 列出部门、地点、岗位等实际需要的字段及其类型。
• 为符合、部分符合、缺值和异常值准备测试成员。
• 避免将可由个人随意修改的属性直接用于敏感授权。

定义并审查规则

用途：研发试点
成员条件：部门为 Engineering，并且地点为 London
变更负责人：组织身份管理员
关联授权：经批准的试点能力
验证：符合成员加入；缺值或不符合成员不获得访问

示例表达业务规则，不是 Lime 配置语法。确认 AND、OR、大小写、空值和字符串类型的实际语义后，再保存规则。

保存、重算与核验

• 保存前预览预期加入和移除的成员。
• 按平台正式流程应用或重算；保存规则和执行同步可能是独立动作。
• 取消或失败后检查部分更新状态，不直接认定全部回滚。
• 读回最终成员，并以代表性身份测试权限。

定位遗漏与管理变更

应加入的成员缺失时，从平台已收到的原始属性开始查，不依据显示名称猜测。成员已移除仍可访问时，检查其他直接角色、群组和共享连接。

规则、属性映射、目标授权或同步机制变化时重新验收，记录处理时间与最终状态。