从 SAP PI 用户与角色管理看集成平台权限设计，别把账号当成一张登录凭证

在 SAP PI 系统里谈用户管理，不能只停留在创建账号、分配角色、测试登录这三个动作上。真正落到运维和项目治理时，用户管理其实是集成平台的安全边界。一个账号能不能打开 Enterprise Services Repository，一个开发人员能不能修改某个 namespace 下面的接口对象，一个外部业务系统调用 Integration Server 时到底用哪个技术用户认证，这些问题最后都会落到 SAP NetWeaver 的用户管理、PI 标准角色、服务用户和数据相关授权这几层机制上。SAP 官方对 SAP PI 的定位很清楚，PI 不是自己另起一套孤立的用户体系，而是使用 SAP NetWeaver usage type AS User Management。实际项目里，用户通常创建在 Integration Server 的 client 里。文档还特别把 dialog user 和 service user 区分开，因为它们承担的职责不同，维护方式也不同。对于新业务系统做 client copy 的场景，用户角色也要跟着复制，否则系统对象复制过去了，运行和维护权限却断了链路。SAP 还允许在 Enterprise Services Repository 和 Integration Directory 中定义更细的数据相关授权，再把这些授权挂到用户管理里创建的角色上，从而形成更细粒度的控制。(