做 SAP 系统的 X.509 证书登录时,最麻烦的地方往往不在 SSL 握手,也不在 PSE 信任链,而是在证书和 SAP 用户之间那层映射关系。系统规模小的时候,在USREXTID里维护一条证书 Subject 到一个 SAP 用户的显式映射,看起来很直接。可一旦进入集团级环境,几千个用户、多个公司代码、多个 CA、多个接入通道一起涌进来,USREXTID很快就会变成一个典型的运维负担。
Migrating to Rule-Based Certificate Mapping这件事,解决的就是这个问题。SAP 提供的思路不是把所有历史映射一条条搬家,而是通过事务码CERTRULE_MIG,把大部分可归纳的映射转换成规则,只把少数无法归纳的记录保留为例外映射。SAP 官方文档明确说明,这个迁移过程用于把USREXTID表里的证书映射迁移到 rule-based mapping,核心收益是降低 X.509 证书基础设施的运行成本,并允许剩余映射作为 exception 继续存在。(SAP Help Portal)
为什么要从显式映射迁移到规则映射
在传统做法里,X.