从系统安装那一刻开始，边界就该画清楚
在很多采用 Windows 域架构的 SAP 项目里，真正容易被忽视的，不是参数是不是已经填完，也不是实例是不是已经拉起，而是系统边界到底有没有在操作系统层面被画清楚。SAP 官方在 Windows 安全文档里给出的思路很明确，在标准安装流程里，尤其是大型系统 landscape 中，最好把企业数据所在的公司域和 SAP 系统所在的域分开建设，再通过 Windows trusted domain 的方式建立可信关系。这样做不是为了追求架构上的复杂感，而是把员工账号、办公资源、SAP 服务账号、服务器管理权限分层隔离，把本来可能混在一起的权限面拆开。(SAP Help Portal)
这个思路放到真实企业环境里特别容易理解。很多集团把日常办公终端、文件共享、邮件系统、打印资源放在公司域里，而 SAP 应用服务器、传输主机、系统服务账号则放在专门的 SAP 域里。员工依旧用企业统一身份进入工作环境，SAP 服务器却不需要直接暴露在那个权限更复杂、人员更多的公司域管理面前。这样一来，域管理员模型、账号生命周期、服务运行身份、审计边界都会清楚很多，后续做授权审计、漏洞排查、合规检查时，也更
