共用账号是 SAP 环境里的老大难。培训号、外协号、接口号一批人轮着用，SM20 安全审计日志记下的是账号做了什么，不是谁在做，出了事追责链是断的。本文从项目实践出发，讲会话级审计怎么把这条路接上。
认证停在账号层，落不到人
权限体系认的是账号，安全管理认的是人，共用账号恰好卡在两者中间。一个号几十个人用，SoD 职责分离检查会失真：检查看到的是这个账号什么都能干，实际持号的人谁都只干了一角；反过来，一个敏感操作出问题，日志只能告诉你账号，指不到具体的人。审计口径与追责口径在这里脱节，是共用账号最实质的风险。
追责断链在排查现场是什么样子，值得具体说一遍。一张凭证出问题，审计员从安全日志里查到操作账号，下一步要问这个号当时是谁在用，答案是一批轮用者里挑不出人。问排班，排班只到组不到人；工单挂的是事不是会话；问到在场的人，得到的都是各自不在场的解释。一圈下来，账面事实清楚、责任主体缺失，内审与外审都只能停在账号级，报告里写不下名字。
会话级审计的思路
我们在项目里落地的做法分三层。第一层是会话绑定：在连接链路上加会话代理，谁连进来、什么终端、哪个会话号，实时记录，把共用账号的每次会话与借用人身份绑在一起。第二层是托管账号池：共用账号的凭据不直接发到人手里，经账号池借出，用毕回收，长时间不动的会话走超时释放，按截止时间计算、巡检、自动断开三步走，账号不悬空。第三层是会话统计：把会话级的用量与操作留痕叠加到权限审计里，哪个自然人在哪次会话动了什么，可以回查到单次会话的粒度。三层各自能独立验收，下面逐层拆开讲。
会话绑定层怎么落地
技术形态是在 SAP GUI 的连接链路上放一跳会话代理，客户端的流量经代理转发进应用服务器，代理对每一次连接记下三样东西，来源终端、借用人身份、会话号。借用人身份不是代理自己猜的，它接在企业统一认证后面，SAML、LDAP、Keycloak、企业 IM 账号这些常见身份源都能对接，人在借号时先过认证，过了认证才拿到会话。绑定完成后，SM20 里那条「账号做了什么」的记录，旁边永远跟着一条「这次会话是谁」，两条记录靠会话号咬合。代理层只做转发与记录，不改业务报文，对终端用户透明。这层落地时被问得最多的是性能，实测加一跳的延迟在毫秒级，感官上无差别。
托管账号池与超时释放
账号池解决的是凭据落地问题。共用账号的密码不再发到任何人手里，统一进池托管，要用的人走借用流程，审批过后系统自动完成登录，会话结束或超时后凭据收回。借出、使用、回收全程留痕，谁在什么时段占着这个号，池子里有账。凭据不落地这一条对接口号尤其重要，接口凭据泄露的排查成本比人用号高一个量级，池化后泄露面收窄到池本身。
超时释放的三步有明确的运维口径。第一步算截止时间，每条在线会话都带一个 deadline，超时值按三级取数，用户级配置优先，没配看组级，再没配落到系统默认，默认托管账号 30 分钟、非托管账号 8 小时。截止时间不是从登录起算一刀切的死线，会话里有交互就顺延，登录、对话、后台调用、延迟申请都会刷新它，超时针对的是挂着不动的会话，不是把正在干活的人掐断。第二步巡检，释放线程每 10 秒扫一遍在线会话，拿当前时间比对截止时间。第三步断开，到点的会话自动断掉 ECC 连接、回收池中账号，两件事一起做，不留半悬空状态。另有一条空闲释放链作补充，高峰时段按忙闲比把长期挂着的空闲会话提前放掉，白名单会话豁免。两条链都在服务端自动跑，不依赖人记得登出。
会话统计叠加进权限审计
第三层把前两层攒下的数据用起来。留痕做到两个粒度，数据包级与屏幕级，Dynpro 屏幕的每次原子操作、会话里的每次交互都有记录。SAP 侧的权限数据经多层提取管线进到审计库，与权限对象、角色分配拼在同一张底表上，再叠加会话维度的用量统计。落到使用侧就是三张可回查的账，某个共用号历史上被哪些人借过、各借了多久；某个自然人在所有会话里动过哪些敏感操作；某次具体会话从头到尾做了什么，精确到屏幕。权限审计因此从账号口径换到自然人口径，SoD 检查的失真问题也在这里被修掉，检查对象从「这个号能干什么」变成「这个人干过什么」。
本文首发于 sapzx.com，版权归 河‧南·赛-锐 信•息‧科.技_有·限 公-司 所有，未经授权请勿转载。
AI 操作让这件事更急
AI 代理替人执行 SAP 操作正在放量，产品侧的安全设计普遍是三道闸。第一道读写分流，读类操作直接执行，写类操作拦下待确认，拦不拦由函数类型决定，不交给模型自己判断。第二道破坏性操作二次确认，改动落地前把写什么、在哪个系统、影响多大摆成人能核对的卡片，按了确认才执行，多步写一笔一卡。第三道全程审计留痕，哪次会话、哪个代理、动了什么、何时动的，全链可回查。这套闸口的细节此前写过，见《AI 写 SAP 数据的安全闸口探讨》。闸口设计得再好，有一个前提变不掉：AI 用的还是账号。代理拿共用号写数据，审计链照样断，而且断得比人更彻底——人至少还记得自己登录过，代理连记得都没有。操作者身份落到会话级，AI 操作才谈得上可信。
把追责链接到人
共用账号一时清不掉，能做的是把每个号背后的人找回来。先摸存量，把环境里的共用号列成清单，培训号、外协号、接口号分列，能归属到人的先归属，这是零成本的一半收益；再定口径，技术用户与工具账号的归属、白名单范围、超时分级，先在纸面定，再进配置；然后补绑定，给必须共用的号上会话代理与托管池，从接口号与外协号开刀，这两类追责成本最高；最后接 AI，代理要写 SAP 数据之前，先确认它用的账号已经过了前三步，否则三道闸等于建在沙地上。权限底账怎么用 SUIM 摸，见《SUIM 进行权限自查的方法》；职责分离的审查框架，见《SAP 权限审计实战：如何有效进行职责分离 (SoD) 审查》；AI 写数据的闸口细节，见《AI 写 SAP 数据的安全闸口探讨》。
随着 SAP 产品从 ECC → S/4HANA → RISE with SAP（S/4HANA Cloud Private Edition, PCE）的持续演进，SAP 许可模式已从传统的永久授权、模块化计费，全面转向以 FUE（Full Use Equivalent）为核心的订阅化、精细化授权体系。这一变化深刻影响了企业的用户角色设计、权限治理、合规审计以及长期 IT 成本结构。在 PCE 模式下，FUE 许可的计量方式更加依赖实际使用行为，对企业在账号分配、权限控制、并发使用与审计合规方面提出了更高要求。
赛锐信息深耕 SAP License 审计与合规治理领域，长期服务于 SAP ECC、S/4HANA 及 RISE with SAP 客户，在 SAP 官方审计流程、FUE 许可优化策略及账号资产精细化管理方面积累了丰富的咨询与实施经验。依托自主研发的 SAP License / FUE 资产优化软件产品（AMS-V），我们帮助企业在满足 SAP 合规要求的前提下，提升 FUE 许可利用率、降低订阅成本、控制审计风险。欢迎随时联系我们，获取 SAP FUE 许可优化咨询服务，并申请产品试用与方案演示。让 SAP 投入真正服务于业务增长，而非成为成本负担。
