从 SAP GUI 到 OData 服务，ABAP 平台里的 SSO 集成该怎样落地
我今天处理 SAP 系统认证链路时，最怕看到的一种设计是，每个入口各管各的登录，SAP GUI 一套密码，Fiori 一套密码，外部系统调 OData 又把技术用户和密码写进连接配置里。短期看，项目能跑起来。时间一长，密码轮换、审计追踪、离职账号清理、跨系统权限一致性都会变成运维噩梦。SSO 在 ABAP 平台里的价值，不只是少输一次密码，而是把身份认证、凭证传递、系统信任关系和访问通道统一纳入可治理的安全架构。
SAP 官方文档对 SSO 的定位很清楚，Single Sign-On 是用户完成一次认证后，可以访问多个后端软件系统资源的一种认证模式。放到 ABAP 平台里，它补充的是用户认证体系，让授权用户跨技术系统边界访问资源，同时减少多系统场景下的系统管理负担，并降低频繁保存和输入认证凭据带来的安全风险。ABAP 平台支持多种用户认证和 SSO 机制，具体可用哪一种，取决于 ABAP 平台底层技术以及访问系统时使用的通信通道。(SAP Help Portal)