让 S_USER_GRP 真正区分创建用户和移动用户组

在 SAP 用户管理里，User group for authorization checks这个字段看起来很小，真正落到权限设计时，却经常牵动整个用户管理员分工模型。尤其是在SU01或SU10里把一个用户从某个授权检查用户组移动到另一个用户组时，系统默认会按S_USER_GRP的01 Create来做检查。也就是说，创建一个属于某用户组的新用户，和把一个既有用户移动到另一个用户组，在默认行为下可能被同一种活动值覆盖。SAP 为了让这两个动作可以拆开控制，在S_USER_GRP里提供了50 Move，并通过USR_CUST表里的CHECK_MOVE_4_CNG_GRP开关启用这一检查。SAP Help 对这个开关的说明很直接，维护USR_CUST中的CHECK_MOVE_4_CNG_GRP = YES，再调整相应用户管理员的授权角色即可；同一组 SAP Help 文档也把这个开关列在USR_CUST的 Customizing Switches 里，取值为YES或NO，默认值为NO。(