从 SU01 到 SAP HANA，DBMS 用户管理里的 SSO 选项到底在管什么

项目里讨论 SSO 时，大家很容易把它想成一个单点登录按钮，好像在某处勾选一下，用户就能从 SAP GUI、Fiori、报表工具一路无感访问到数据库。到了 SAP NetWeaver AS 和 SAP HANA 组合的系统里，这个理解会带来不少误会。因为从 ABAP 侧维护 DBMS 用户的 SSO 选项，只是在用户主数据和数据库用户之间建立认证方式所需要的映射关系，它并不自动替代 SAP HANA、SAP NetWeaver AS、企业身份源、证书链、信任关系、票据签名和网络安全配置。SAP 官方文档也明确提到，在 SAP NetWeaver AS 中可以为 DBMS 用户启用 SSO 选项，这些选项可在用户管理事务码SU01里维护，同时 SAP 建议使用报表RSUSR_DBMS_USERS做批量处理，并且启用这些选项并不能保证 SAP HANA 或 SAP NetWeaver AS 已经完成 SSO 支持配置。(SAP Help Portal)这句话在工程上很关键。SU01看到的是用户维护入口，真正跑起来的是跨层认证链路。ABAP 用户主记录、DBMS 用户、SAP HANA 认证机制、Microsoft Active Directory、Kerberos KDC、SAML Identity Provider