从 RSUSR020 看 SAP profile 评估，别把权限治理停在 role 这一层

今天正在整理一组 SUIM 报表时，RSUSR020 很容易被排在 RSUSR070、RSUSR002 后面。原因也简单，很多项目团队日常谈权限，开口就是 role、business role、catalog、authorization object，很少把 profile 当作独立分析对象拿出来看。可到了排查真实生产问题时，profile 又会突然变得绕不开。角色在 PFCG 里看起来已经分配了，用户在 SU01 的 Roles 页签里也能看到对应条目，但运行事务码时还是缺权限，或者审计团队要求解释某个 profile 到底由哪些 role 生成、包含哪些 authorization、最近是否被改过，这时 RSUSR020 就成了很实用的入口。

RSUSR020 的定位很清楚，它用于根据复杂选择条件对 SAP profile 做完整评估。SAP Help 对 SUIM 的说明里也把 Evaluating Profiles 与 Report RSUSR020 关联起来，说明它提供基于复杂条件过滤 profile 的完整概览。(SAP Help Portal) 这句话看起来很短，放到日常运维里却很有分量。因为 profile 不是单纯的历