一家业务遍及多个欧洲国家的化工制造公司，在启动 S/4HANA 迁移之前做了一次结构化的 FUE 分析，把预计的许可消耗降低了超过 15%。许可审计的老读者对这条路径的骨架不陌生，计量与分类永远是核心，这个案例补上了迁移前窗口期怎么动手的一段。
成本为什么跟权限挂钩
RISE with SAP 的私有云合同按 FUE 计费。按SAP 官方口径，许可分四类，Advanced Use 一个用户算一个 FUE，Core Use 五个用户折一个，Self-Service Use 三十个用户折一个，Developer Access 一个用户占两个。授权成本不再跟着用户头衔走，看的是账号被授予了哪些权限。有 SAM 厂商在白皮书里测算，基于权限的授权模式比基于使用的模型贵 50% 到 150%。这个数字没有独立复核，方向足以说明问题，权限给得越宽，账单越高。
旧角色原样搬过去，风险就在这里。FUE 按被授权的活动分类，一个本该只看单据的角色，只要混进一个带创建权限的对象，账号就会被顶到高价类别，哪怕这个权限从未被使用。合同层面的时间压力同样真实。第三方顾问的口径是，RISE 初始期内许可费逐年上调 3% 到 6%，初始期结束续约时转型折扣消失，涨幅可能到 25% 到 42%。迁移前把权限底数清干净，是少数能自己做主的降本动作。
这家公司的起点
案例客户的 ECC 跑了十多年，活跃用户 2500 名以上。角色是十几年间长出来的，复制、扩展、以防万一的授予层层叠加，大量角色重叠、过时或早已无人使用。核心业务领域存在广泛的权限交叉和职责分离风险，从管理员或测试环境复制出的角色，造出了一批权限过高的超级用户。授权模型停留在传统命名用户，专业型、有限专业型和员工型三类，与 FUE 四类之间没有现成的干净映射。
标准报告为什么只够当起点
客户先用 SAP Note 3113382 的标准报告 SLIM_USER_CLF_HELP 估算 FUE 需求。这个程序按规则集把现有权限映射到许可证类型，SAP 官方博客也把它列为迁移前的第一步。问题在于它假设现状是对的。多年过度授予之后，角色分配早已偏离真实需求，照现状计算，结果系统性偏高。
规则集本身足够庞大，案例方自述覆盖七百多个权限对象、两千多条基于值的条件，映射细到活动级别。显示类活动（ACTVT 03）多归入 Self-Service，创建类（ACTVT 01）会推向 Core 或 Advanced。一个只看单据的用户，角色里混进带创建权限的 M_RECH_BUK（发票的公司代码控制），就会从 Core 顶到 Advanced，无论是否用过。
输出是一堆没有业务上下文的技术清单。团队只能逐个角色反查触发分类的权限对象，客户项目组成员的原话是这个过程极其耗时。报告不排优先级，找不出调整一成权限就能降级的用户；不支持模拟，回答不了移除一个对象或拆分一个角色会发生什么；规则集靠文件手动导入，自定义权限对象不在覆盖范围。SAP 官方文档自己也建议，把报告结果交给 S/4HANA Trusted Authorization Review（STAR）专家服务去解读，官方博客把它定位成配套的解读与优化服务。
换方法，工具加研讨会
客户转向的第二条路线，是用 SAP GRC Access Control 做权限合规分析。规则模拟、使用数据集成、许可证可见性这些能力补上了标准报告的缺口。改一个对象能立刻看到 FUE 分类怎么变，过去六到十二个月没被用过的事务和角色会被直接标出来。案例方把真正的转折点归给跨职能研讨会。安全顾问懂角色和权限的技术设计，功能顾问知道哪些事务支撑哪些流程，业务关键用户、部门主管和流程经理清楚真实的业务需求与合规义务。三方坐在一起，把技术清单翻译成一组可以拍板的问题。
研讨会回答的问题都很具体。这个角色真的需要更改权限，还是显示就够？能不能拆成录入和审批两个画像，把许可证等级降下来？这个事务在新流程里还用吗？流程简化之后，这组用户能不能整体转成 Self-Service？技术数据加业务判断，一轮一轮收敛，权限设计和成本设计同时收口。
结果
案例方公布的账面结果是，模拟分析、权限清理和角色重设计之后，预计 FUE 消耗下降超过 15%，正常运营和用户体验不受影响。超过十二个月未使用的角色和事务被标记为待移除，遗留技术角色、管理员继承权限、无业务理由的复制角色、组织变革后的失效访问都在清理范围。一批高成本宽权限角色被拆成分层版本，很多用户从 Advanced 降回 Core 或 Self-Service。许可证分配改按实际系统行为，不再跟着职位和过时映射走。
审计侧的两点判断
第一点，工具的价值在排序，裁决权在研讨会。这个案例最容易被忽略的细节是优先级，标准报告平铺所有用户，研讨会先处理调整一成权限就能降级的人。我们做许可审计时同样按这个顺序推进，计量数据只回答谁可疑，谁该动、动到什么程度，必须由懂流程的人拍板。国内项目的现实是业务关键用户很难抽出来，案例可复制的部分不是研讨会形式本身，而是把权限清理排进迁移项目的里程碑，给它固定的人时和退出标准，而不是另立一个排不上期的合规项目。
第二点，FUE 分析的副产品是职责分离治理，一次清理两头收益。从降本视角看，拆角色、降类别是省钱；从风险视角看，同一批动作正好削减权限交叉和 SoD 冲突，超级用户的收敛也在其中。迁移本来就是角色体系难得的重置窗口，只算成本账会漏掉这半个收益。反过来说也成立，只当合规项目做、不算 FUE 账的清理，等于把谈判筹码留在桌上。两条线用一个工作流走完，是这个案例方法里最值得抄的部分。
这些动作不必等迁移项目立项。角色盘点、使用数据拉取、SoD 风险扫描在 ECC 上就能先做，FUE 模拟与规划的账也可以提前算。ECC 的主流维护 2027 年底到期，前期分析要抢在迁移排期之前，维护时间线里给自己留出位置。
