Клиент хочет интегрировать SAP и AD.
Как я понял, получается 2 способа интеграции
1 SSO. Для пользователей будет выглядеть следующим способом - входят в компьютер в домене. Запускают SAP Logon и сразу оказываются в SAP не вводя пароль (требует SNC).
2 LDAP синхронизация. При входе в SAP вводят тот же пароль, что и при входе в домен. Информация синхронизируется периодическим выполнением программы RSLDAPSYNC_USER.

Я правильно понимаю механизм? Поправьте, пожалуйста.
Как происходит назначение ролей? Ведь в домены роли наверное не копируются. Сервер с установленным SAP должен быть в домене?

При настройке 2 способа - как импортировать пароль? Со стороны SAP это наверное структура PASSWORD-BAPIPWD. А какой атрибут домена хранит пароли? Или, что более правдоподобно, наверное домен такую информацию экспортировать откажется, и тогда для входа остается только SSO?

Насколько мне известно, при LDAP синхронизации пароли из домена никак в SAP не передаются, только логины.
В SAP остается своя парольная система.
Еще можно скрестить LDAP синхронизацию и SNC, вот тогда максимально возможная интеграция получится

Спасибо, буду тогда копать в эту сторону