今天讨论的这项配置，看起来只是在PFCG里创建一个角色，再把用户放进去，但真正理解 SAP Gateway Workflow 的 Push Notification 机制之后，会发现这里处理的并不是普通的菜单权限，也不是简单决定用户能不能打开某个事务码，而是在控制一个更敏感的边界，哪些 SAP Business Suite 用户可以接收 Workflow Push Notification 携带的完整业务 Payload。SAP 官方文档对这一点写得非常明确，凡是允许接收full payload的用户，都必须在 SAP Business Suite 系统中获得一个专门的角色，而且创建这个角色时必须使用 SAP 提供的 Role Template/IWWRK/TR_WF_GW_USR。完整流程发生在PFCG中，包括创建 Single Role、导入模板、生成 Authorization Profile、分配用户，以及执行User comparison和Complete comparison。(help.sap.com)如果只把这段配置理解为照着屏幕点二十次按钮，很容易在项目里碰到一个典型问题，角色明明