从 USREXTID 走向 CERTRULE_MIG，SAP ABAP 平台上 X.509 证书映射的规则化迁移实践

做 SAP 系统的 X.509 证书登录时，最麻烦的地方往往不在 SSL 握手，也不在 PSE 信任链，而是在证书和 SAP 用户之间那层映射关系。系统规模小的时候，在USREXTID里维护一条证书 Subject 到一个 SAP 用户的显式映射，看起来很直接。可一旦进入集团级环境，几千个用户、多个公司代码、多个 CA、多个接入通道一起涌进来，USREXTID很快就会变成一个典型的运维负担。

Migrating to Rule-Based Certificate Mapping这件事，解决的就是这个问题。SAP 提供的思路不是把所有历史映射一条条搬家，而是通过事务码CERTRULE_MIG，把大部分可归纳的映射转换成规则，只把少数无法归纳的记录保留为例外映射。SAP 官方文档明确说明，这个迁移过程用于把USREXTID表里的证书映射迁移到 rule-based mapping，核心收益是降低 X.509 证书基础设施的运行成本，并允许剩余映射作为 exception 继续存在。(SAP Help Portal)

为什么要从显式映射迁移到规则映射

在传统做法里，X.