停止点击，开始脚本化：通过 REST API 自动将 BTP 角色集合映射到 IAS 用户组

01 发生了什么

面对 130 个角色集合到 IAS 用户组 cockpit 手动映射的 SAP BTP 管理员，可通过 SAP Authorization and Trust Management Service REST API 配合 Node.js 脚本，将工作量从接近 8 小时降至每个环境约 2 分钟。

02 关键细节

• 在 cockpit 中手动映射 130 个 BTP 角色集合到 IAS 用户组，保守估计每项 3–4 分钟，共耗时近 8 小时，重复且易出错。
• 通过 SAP Authorization and Trust Management Service REST API 使用 Node.js 脚本以编程方式创建同一组映射，可实现一致且可重复的配置。
• 前提条件包括：目标 BTP 子账户中的 Subaccount Administrator 角色集合、IAS 作为自定义身份提供者、已创建并填充用户的 IAS 用户组、已安装配置 BTP CLI、REST 客户端和 Node.js v18+。
• 使用 BTP CLI 命令 `btp login --sso`、`btp target --subaccount <SUBACCOUNT_ID>` 和 `btp create security/api-credential` 获取凭据；旧的 `cf create-service xsuaa apiaccess` 方式已被弃用。
• 映射载荷必须使 `attributeName` 严格为 `Groups`、`attributeValue` 为 IAS 组名、`operator` 为 `equals`、`roleCollectionName` 与 cockpit 中显示的名称完全一致；成功调用返回 HTTP 201，脚本处理 409 和 404 状态，可在多个环境中重复使用。

03 为什么重要

手动 cockpit 映射不适合数十个角色集合和多次部署；基于 API 的工作流配合可复用脚本，使配置可重复、一致且可审计。

04 适合谁

SAP Basis 管理员及SAP Basis顾问。