Lorsque vous créez une règle de contrôle d'accès aux politiques, vous pouvez soit indiquer un participant auquel la règle de politique s'applique, soit indiquer un participant et activer l'option Tous sauf participant sélectionné. Dans le deuxième cas, la règle de politique s'applique à tous les participants, à l'exception du participant sélectionné. L'option Tous sauf participant sélectionné est disponible pour les utilisateurs, les groupes, les organisations et les rôles dynamiques. Cette option n'est pas accessible pour les pseudo-rôles Propriétaire et Tous. Une règle s'appliquant à tous sauf à un participant traite le participant en tant que groupe dont les membres sont tous des participants, à l'exception des éléments suivants :

Par exemple, Stéphane crée le produit Beach Umbrella dans le domaine par défaut. Plutôt que de créer plusieurs règles de politique de contrôle d'accès pour chaque groupe de son produit, il crée une règle de politique de contrôle d'accès qui refuse les droits d'administrateur à tous les participants, à l'exception du groupe d'administrateurs. Dans cet exemple, tous les utilisateurs qui ne sont pas des administrateurs se voient refuser les droits d'administrateur sur les objets du produit Beach Umbrella. Toutefois, s'il le souhaite, Stéphane peut accorder les droits d'administrateur à Carlos, à travers une règle de politique pour utilisateur individuel. L'option Tous sauf participant sélectionné traite le participant à la règle en tant que groupe dont les membres sont tous des participants, à l'exception du participant sélectionné. Comme pour d'autres types de refus, l'octroi de la même permission à un seul utilisateur prévaut sur le refus visant le groupe.

L'option Tous sauf participant sélectionné peut être utilisée en combinaison avec une permission de refus absolu. Par exemple, supposons que vous souhaitiez accorder un droit de visualisation d'un type de document spécifique à tous les utilisateurs, à l'exception d'un ensemble d'utilisateurs donné. Pour effectuer cette opération, créez un groupe appelé "Vue confidentielle" et ajoutez-y les utilisateurs qui doivent être en mesure de visualiser les documents. Ensuite, créez une règle de contrôle d'accès aux politiques refusant catégoriquement la permission de lecture pour ce type de document à tous les utilisateurs qui n'appartiennent pas au groupe "Vue confidentielle".