Посоветуйте, как правильно ограничить пользователя, чтобы он мог вызывать Веб-сервис XI, но не мог подключиться к SAP XI Tools (SLD; Integration Builder-Repository, Directory)
Роль SAP_XI_APPL_SERV_USER -позволяет подкючиться и проводить изменения в Integration Builder-Repository, Directory.
Вызов Веб-сервиса будет осуществляться от сторонней организации.

готового ответа не дам, сам бы просто начал с минимальной роли типа SAP_BC_ENDUSER и постепенно добавляя туда нужные джавашные роли. Далее идёт лирическо-техническое отступление от темы вопроса.


Что если доступ надо дать сторонней организации то как правило лучше вообще их не пускать в http://intimhost:5xx00 -- ведь это просто опасно давать к внутренней сети потенциально опасный доступ. Слишком дыряв нетвивер, задосить или найти дыру могут в этом или другом сервисе, и тогда весь XI падёт.

Есть другой более здравый вариант -- вынести все веб-сервисы для внешнего вызова из Central Adapter Engine в другой AE, например в J2SE Plain AE. Потребляет памяти он немного (в 100-200 метров ОЗУ влазит), параметров много, база пользователей полностью своя, разворачивается на практически любой ОС за считанные часы. Этот выносной АЕ ставим в зону с доступом извне к любому _одному_ порту (хоть 80му), а он уже имеет доступ к XI http://intimhost:5xx00. Конечно, и его могут ломануть, но это доп.преграда.

Можно также поставить PCK в ДМЗ, но это труднее -- целую джава-инстанцию надо ставить, зато в мониторинге проще.

Вариант с Plain J2SE AE работает в одном проекте в продуктивном режиме для доступа через SOAP (внешняя фирма вызывает XI через выносной адаптер) уже достаточно долго, в целом удобно.