SAP Cloud Integration 租户授权设计，从用户、用户组到技术用户的一套治理思路

在 SAP Cloud Integration 租户真正交给项目团队使用之前，最容易被低估的一件事，不是 Integration Flow 能不能画出来，也不是 HTTPS Adapter、OData Adapter、IDoc Adapter 这些连接器能不能配通，而是账号到底应该怎么授权。今天这类 SAP Integration Suite 落地场景里，我们常常会看到一个很现实的画面，BTP subaccount 已经建好，Cloud Integration tenant 已经 provision 完成，测试人员、集成开发人员、运维人员、外部系统调用方都在等着接入。表面上看，只要把账号加进去就能开工，可真正到了生产租户，授权就不能再用临时开门的方式处理。

SAP Cloud Integration 的租户授权，核心不是把所有人都放进一个大管理员组，而是把不同身份放到合适的位置。做 Integration Flow 设计的人，需要访问 Design 区域，部署内容的人，需要 deploy 权限，监控生产消息的人，需要查看 message processing 的能力，安全管理员需要维护 credential、keystore、certificate、OAuth client 等敏感对象，而外部发送系统里的技术用户，只应该被允许调用暴露出来的 endpoint，不应该进入设计界面，更不应该看到 payload、证书和运行时配置。

从架构视角看，Cloud Integration 租户并不是一个孤立系统。它通常挂在 SAP BTP subaccount 下面，身份由 SAP ID service、SAP Cloud Identity Services，或者企业自己的 corporate identity provider 提供。BTP su