SAP BTP Cockpit：登录、子账户和权利（Entitlements）指南

SAP BTP Cockpit 是管理 SAP Business Technology Platform 的 Web 控制台：全局账户、子账户、权利、服务、用户、运行时和成本都在这里管理。您用 SAP 用户登录 https://cockpit.btp.cloud.sap，系统会把您重定向到最近的区域 Cockpit。

简短回答：打开 cockpit.btp.cloud.sap，选择您的全局账户，然后按以下顺序操作。规划目录和子账户，分配权利，启用运行时，创建服务实例，连接身份提供方并分配角色集合，最后开启告警和成本跟踪。试用账户使用 https://cockpit.hanatrial.ondemand.com/trial/，最长可用 90 天。

我第一次摸索这些时花了好几天。大部分麻烦来自于先做了后面的步骤，再回头做前面的。下面的顺序，是我现在每个新全局账户都会用的。

关于名称说明一下。在 2026 年 5 月的 Sapphire 大会上，SAP 发布了 SAP Business AI Platform，它把 BTP、SAP Business Data Cloud 和 AI Foundation 整合在一起（SAP News）。截至 2026 年 10 月，管理控制台在文档中仍称为 SAP BTP Cockpit，所以本文沿用这个名称。

SAP 文档给出的入口只有一个：https://cockpit.btp.cloud.sap。它会把您重定向到最近的区域 Cockpit（SAP Help, Access the Cockpit）。您也可以直接打开区域网关：

1. 欧洲、中东和非洲：https://emea.cockpit.btp.cloud.sap。
2. 美洲：https://amer.cockpit.btp.cloud.sap。
3. 亚太：https://apac.cockpit.btp.cloud.sap。
4. EU Access 账户：https://eu-access.cockpit.btp.cloud.sap。

网关只决定您通过哪条路径进入 Cockpit，并不限制您只能使用该区域的子账户。中国的用户有专用入口：https://cockpit.cn40.platform.sapcloud.cn。

如果您的公司通过自己的身份提供方让平台用户登录，请加上 idp 参数，例如 https://cockpit.btp.cloud.sap?idp=mytenant.accounts.ondemand.com。没有它，您会进入默认的 SAP ID service，可能一个账户也看不到。使用旧功能集 A 或 Neo 环境的账户使用另一个网址，SAP 文档中有列出。

我也在自己的 YouTube 频道上用一段视频（英文）讲解了这个话题。

一切都在一个层级结构中。全局账户是您与 SAP 所签合同的具体体现。它持有您购买的权利和配额，并且与区域和环境无关。

子账户是实际工作的地方。每个子账户属于一个区域，您在其中部署应用、使用服务、管理成员和授权。子账户之间彼此独立，这对安全和数据隔离很重要。

目录是位于两者之间的可选文件夹。它们可以把子账户分组，例如按业务单元，也可以有自己的权利和授权。SAP 允许在全局账户和最底层子账户之间最多设置五级目录（SAP Help, Account Model）。

1. 全局账户您与 SAP 的合同以及购买的服务
   权利每个子账户从中分配的有限资源池
2. 目录对子账户分组，例如按业务单元

• Finance-Dev开发，使用免费或小型计划
• Finance-Test测试，有自己的用户和角色集合
• Finance-Prod生产，上线前就设置好告警

子账户之下，每个运行时有自己的层级。启用 Cloud Foundry 会为每个子账户创建一个 org，您在其中创建 space。启用 Kyma 会预配一个或多个 Kubernetes 集群，您再把它们划分为 namespace。

第 1 步：登录并打开正确的全局账户

按上述方式登录，并选择您的全局账户。Cockpit 一次只显示一个全局账户。如果您不是任何全局账户的成员，Cockpit 会提示您；请参阅下文的错误部分。

在 Cockpit 工具栏中点击菱形图标即可使用 Joule。它可以回答 BTP 相关问题并执行管理任务，但只限于您自己的授权所允许的范围。

第 2 步：先在纸上规划目录和子账户命名

大多数团队就是在这一步制造出跟随他们多年的混乱。我曾合作过的一位客户有 50 多个随意命名的子账户，谁也找不到任何东西。在项目中途理清这些非常痛苦。

按领域把开发、测试和生产分开，例如 Finance-Dev、Finance-Test、Finance-Prod。较大的组织会按业务单元再加一层目录。使用 Landscape: Dev 或成本中心之类的标签，因为 Account Explorer 可以按标签筛选。

第 3 步：创建子账户

您需要是全局账户管理员，或者是自行管理权利的目录的目录管理员。然后，按照 SAP Help, Create a Subaccount 操作：

1. 在全局账户中打开 Account Explorer。
2. 选择 Create > Subaccount。
3. 输入显示名称，并可选填写说明。
4. 输入 Subdomain。它会成为已订阅应用网址的一部分，并且在该区域内必须唯一。
5. 选择区域和上级（全局账户或某个目录）。
6. 如果用于生产，勾选 Used for production，并在 Advanced 下添加标签。
7. 任何用于生产的子账户都不要打开 Enable beta features。一旦打开，就无法关闭。
8. 保存，然后启用环境并添加用户。

第 4 步：分配权利

权利决定子账户可以使用哪些服务和计划，以及能获得多少配额。全局账户有一个有限的池，由您分配给目录和子账户。

在子账户中打开 Entitlements，选择 Configure Entitlements > Add Service Plans，选好服务、计划和配额，然后 Save。我从最少开始，按需扩大，这种做法为我的客户在闲置服务上省下了数以千计的费用。

第 5 步：启用运行时：Cloud Foundry、Kyma 或 ABAP 环境

您可以在子账户概览中点击 Enable、通过 Service Marketplace，或用 btp CLI 启用环境。一个子账户可以运行多个环境。下表根据 SAP 的环境文档对三者进行比较。

环境	是什么	适合	注意事项
Cloud Foundry	SAP BTP, Cloud Foundry runtime，基于开源 Cloud Foundry；由 buildpack 构建并运行您的应用	Java、Node.js 和 Python 应用，包括 SAP Cloud Application Programming Model（CAP）	对大多数 SAP 团队来说是成熟的默认选择
Kyma	SAP BTP, Kyma runtime：基于开源 Kyma 项目的全托管 Kubernetes 运行时	容器化微服务、无服务器函数和事件驱动的扩展	需要 Kubernetes 技能；Kyma 免费计划每个全局账户只能用一次，最长 30 天
ABAP 环境	现名为 SAP Business AI Platform, ABAP environment；基于已发布对象的 ABAP Cloud	在 S/4HANA 旁构建扩展的 ABAP 开发人员	是独立的系统，带专用的 SAP HANA Cloud 数据库，单独确定规模、单独计费

我见过一些项目延误了好几个月，原因是开发人员不得不学习一个符合架构规划、却不符合他们经验的新环境。技术上更好、但您的团队无法在上面开发的运行时，是更差的选择。

第 6 步：创建服务实例、绑定和密钥

在子账户中打开 Services > Service Marketplace，选择服务磁贴，然后选择 Create。请仔细选择计划，因为 SAP 自己的教程提醒，选错计划会产生额外成本（SAP Developers）。您创建的所有内容都会出现在 Services > Instances and Subscriptions 下。

把实例绑定到您的应用，BTP 就会注入凭据。对于不是 BTP 应用的工具，请创建 service key。按使用者给密钥命名，例如 jenkins-deployment，而不是 key1。

第 7 步：连接身份提供方并分配角色集合

如果您的公司已经有 Microsoft Entra ID 或 Okta 这样的身份提供方，就不要手工管理 BTP 用户。用一个 SAP Cloud Identity Services 租户作为它的代理。在子账户中进入 Security > Trust Configuration，选择 Establish Trust，系统会自动建立 OpenID Connect 信任。

之后在 Security > Users > Assign Role Collection 下为用户分配角色集合，或者通过用户组分配。我对角色集合的做法是：

1. 围绕岗位职能来建，而不是围绕个人。
2. 要具体到有意义，但不要细到需要维护几百个。
3. 保留一个紧急情况下使用的应急管理员集合。
4. 每季度复核一次分配。人员换岗后，往往还保留着原来的访问权限。

第 8 步：把 BTP 连接到 S/4HANA 和其他系统

BTP 的大部分工作是集成。以下是我最常搭建的模式。

场景	如何搭建
本地部署或 Private Edition 的 S/4HANA	在您的网络中部署 Cloud Connector，在子账户中配置 destination，然后使用 OData 或 SOAP API
SuccessFactors 等 SAP 云应用	destination 加上 Integration Suite 或 Event Mesh，扩展用 CAP 开发
Salesforce 或 Workday 等非 SAP 系统	Integration Suite 适配器，或自定义集成流
对外提供您自己的 API	Integration Suite 中的 API Management：设计、发布、监控

Cloud Connector 打开的是通往 BTP 的出站隧道，所以您不需要入站防火墙规则。只暴露 BTP 真正需要的系统和网址路径。我的 SAP CPI 文章对集成设计有更深入的介绍。

第 9 步：设置监控和告警

在需要之前就把监控设置好。我每天早上边喝咖啡边看仪表板。这已经成了一种习惯，也让我躲过了不少“系统为什么宕了？”的时刻。

SAP Alert Notification service 会把平台和应用事件发送到电子邮件、Slack 和其他渠道。我通常的设置是：关键应用用电子邮件，绝不能停的用 Slack webhook。在 Cloud Foundry 或 Kyma 视图中查看每个应用的响应时间和错误率。

第 10 步：跟踪用量和成本

有两个页面很重要。每个子账户中的 Usage Analytics 显示实际用量（不是计费用量），每 24 小时刷新一次。全局账户中的 Costs and Usage 按服务、目录和子账户显示月度成本，使用的是与您的账单相同的口径。

在按用量计费的合同下，您还可以设置 budgets，在达到阈值时发送邮件告警。超出预算并不会停止使用；停下来仍然是您的事。每月删除闲置实例，每次续约前检查权利的消耗情况。

在 Cockpit 里逐项点击无法规模化。BTP 命令行界面（btp CLI）和 SAP Cloud Management service API 可以把账户工作脚本化：创建子账户、分配权利、启用环境。

在一个项目中，我需要为 12 位新开发人员准备环境。我没有花一整天在 Cockpit 里点击，而是运行了我的脚本，然后去喝咖啡。回来时，一切都已就绪。

在一个项目中，部署自动化让设置时间缩短了 80%。把 service key 和 CF CLI 接入流水线后，部署从几小时缩短到几分钟。自定义域名通过 SAP Custom Domain service 设置；在一个客户项目中，高管们立刻注意到了更专业的观感。

SAP 提供两种免费入门方式，很容易混淆。试用版用于学习；免费层计划则在真正的企业账户之内。下表总结了 SAP Help, Trial Accounts and Free Tier 的内容。

	试用账户	免费层服务计划
Cockpit 网址	cockpit.hanatrial.ondemand.com/trial/	cockpit.btp.cloud.sap
账户类型	独立的试用全局账户	Pay-As-You-Go 或 CPEA 企业账户
期限	最长 90 天，之后删除	免费计划没有期限；Kyma 免费计划最长 30 天
生产使用	不允许，也不允许团队开发	允许；大多数服务可升级到付费计划
您能得到什么	一个带 dev space 的 Cloud Foundry 子账户；也可使用 Kyma 和 ABAP	SAP Discovery Center 中标记为 Free Tier 的服务

试用版按最长 30 天的周期运行，只要您持续登录就会自动延期。如果 30 天未登录，账户会被暂停，之后被删除。试用版应用每晚都会停止，需要手动重启。

以下每一项都有文档记载的原因和简单的解决办法。

1. “Your user does not belong to any global account.” 需要由全局账户管理员把您添加为成员，并分配 Global Account Viewer 之类的角色集合。如果没有管理员可找，SAP Note 2669325 介绍了通过 SAP for Me 的变通办法。
2. 用企业身份登录后看不到全局账户。 BTP 会把两个身份提供方中的同一个邮箱视为两个用户。请用 ?idp= 参数，指定管理员所用的身份提供方登录。
3. Service Marketplace 中缺少某个服务。 该子账户没有相应的权利。请先在 Entitlements 下添加该计划。
4. “Subdomain already exists.” 子域名在每个区域内唯一。请在名称中加上业务单元或阶段。
5. 意外的费用。 某个实例是用付费计划创建的。请在 Instances and Subscriptions 以及 Costs and Usage 中检查计划。
6. 试用版应用夜间停止。 这是正常的。重启它，并持续登录以免试用账户被暂停。

关于运行时和部署错误，我的 BTP Cockpit 问题指南有更深入的介绍。

我主导或挽救过 21 个 SAP 项目。在 Clean Core 项目中，BTP 是运行并行扩展（side-by-side）的地方，这样 S/4HANA 就能保持接近 SAP 标准。我的 Clean Core 指南说明了这些扩展放在哪里。

Cockpit 记录的是“做了什么”，从不记录“为什么”。把账户结构、命名规则、权利分配以及各自的理由写下来。对它们的任何变更，都要由业务和 IT 组成的设计委员会（design authority）批准。

如果您的 BTP 账户在没有规划的情况下不断膨胀，请在继续添加之前和我谈谈。

SAP BTP Cockpit 的登录网址是什么？

使用 https://cockpit.btp.cloud.sap，它会把您重定向到最近的区域 Cockpit。您也可以使用区域网关，例如 https://emea.cockpit.btp.cloud.sap、https://amer.cockpit.btp.cloud.sap 或 https://apac.cockpit.btp.cloud.sap。试用账户使用 https://cockpit.hanatrial.ondemand.com/trial/。

SAP BTP 中全局账户和子账户有什么区别？

全局账户是您与 SAP 的合同。它持有您购买的权利，不绑定任何区域。子账户位于全局账户之内，每个属于一个区域，是您部署应用、使用服务和管理用户的地方。

如何在 SAP BTP 中创建子账户？

以全局账户管理员身份打开 Account Explorer，选择 Create > Subaccount。输入显示名称、在该区域内唯一的子域名、区域和上级。保存后，分配权利并启用一个环境，例如 Cloud Foundry。

SAP BTP 中的权利（Entitlements）是什么？

权利是您使用某个服务计划的权利，配额是您能用多少。全局账户根据合同获得这些权利，再由您分配给目录和子账户。在子账户中，选择 Entitlements > Configure Entitlements > Add Service Plans。

SAP BTP 试用版免费吗？能用多久？

免费，最长 90 天。只要您持续登录，周期会自动延期；30 天未登录，账户就会被暂停。它用于个人学习，不能用于生产或团队开发；如需长期使用，请创建一个带免费层服务计划的企业账户。

Cloud Foundry 和 Kyma：该选哪个 BTP 运行时？

Java、Node.js 或 Python 应用（包括 CAP）选 Cloud Foundry；buildpack 会替您处理容器。容器化微服务和事件驱动的扩展选 Kyma 这个托管 Kubernetes 运行时，但前提是您的团队具备 Kubernetes 技能。构建 S/4HANA 扩展的 ABAP 开发人员通常适合 ABAP 环境。

SAP BTP 现在改名叫 SAP Business AI Platform 了吗？

2026 年 5 月，SAP 发布了 SAP Business AI Platform，它把 BTP、SAP Business Data Cloud 和 AI Foundation 整合在一起。SAP 文档已在部分内容中使用新名称，例如 ABAP 环境。截至 2026 年 10 月，管理控制台在文档中仍称为 SAP BTP Cockpit，网址也不变。

如何把我的身份提供方连接到 SAP BTP Cockpit？

设置一个 SAP Cloud Identity Services 租户，把您的企业身份提供方（例如 Microsoft Entra ID 或 Okta）连接到它。在子账户中进入 Security > Trust Configuration，选择 Establish Trust 建立 OpenID Connect 信任。然后为用户或用户组分配角色集合。