SAP自定义权限对象创建步骤
SAP权限设定讲稿
复合角色设置
日期Date: 第 Page 30页 >
复合角色设置
日期Date: 第 Page 31页 >
复合角色设置
日期Date: 第 Page 32页 >
角色修改
日期Date: 第 Page 33页 >
几点需要注意的地方
• 权限设定非常重要﹐次更改都要记录。
Version 1.0
日期Date: 第 Page 12页 >
权ASPu限tEhXo的rSizAa概tPioRn念/C3oPn－rcoejp授etct 权对象
Version 1.0
授权对象 = 运行事务的权限
没有
没有
授权
=
事务
对象
权限
日期Date: 第 Page 13页 >
权ASPu限tEhXo的rSizAa概tPioRn念/C3oPn－rcoejp授etct 权对象
FEBP
F-04
物料管理经理角色
事务:
XK05
XK04
MB53
MB24
日期Date: 第 Page 6页 >
权限的概念
日期Date: 第 Page 7页 >
ASPutEhXor权SizAat限PioRn的/C3oPn概rcoejpe念tct —授权
Version 1.0
授权就是给个人（或组）一个方式或权力 来行使一些特殊的职责
用 SAP 的语言来说….
它允许或禁止用户在系统中进行操作和处 理事务
日期Date: 第 Page 8页 >
权限的概念 SPEX SAP R/3 Project Authorization Concept
SAP 授权概念
SAP系统权限设置和修改操作流程_v1.0
济南分公司SAP系统权限设置
和修改操作流程
1．概述
1.1目的
规范SAP用户权限设置和修改的操作流程，加强SAP用户权限的管理，保证SAP系统的安全、稳定运行。
1.2读者
SAP系统的最终用户和SAP系统的用户、权限管理员。
2.用户权限设置和修改操作流程
2.1用户权限的设置
权限管理员根据“中国石化济南分公司ERP最终用户申请表”相关栏目的内容，对用户管理员所创建的用户ID赋予相应的权限。
2.2用户权限的修改
ERP最终用户由于岗位或者业务范围的调整，需要对其权限进行修改（增加或者减少权限）时，必须填写“中国石化济南分公司ERP最终用户权限修改申请表”（请参见附表三），经所在单位的主要领导审核批准后，交信息中心。
经信息中心领导审核后，权限管理员在SAP系统中，手工对相应用户ID进行权限的修改，并通知用户本人。
附表三
中国石化济南分公司
2、“功能模块”指用户使用SAP中的功能模块，其中有：FI/CO—
财务/成本管理，PP—生产计划， SD—销售/分销，MRO—物料采
购管理，MM—物料管理，PM—设备维护，HR—人力资源。
单位（部门）负责人（签章）：
年月日
信息中心审核：
年月日
2。
SAP用户权限管理配置及操作手册
SAP用户权限管理配置及操作手册SAP用户权限管理配置及操作手册SAP用户权限管理配置及操作手册Overview业务说明OverviewSAP的每个用户能够拥有的角色是有数量限制的，大概是300多点，具体不记得了。
如果只在S_TCODE和菜单中设置了某个事务代码，而没有设置权限对象，此时将不能真正拥有执行该事务代码的权限。
SAP的权限检查机制：SAP进入一个t-code，要检查两个东西1）S_TCODE2) 表TSTCA 里面和这个T-cdoe相对应的object。
有些tcode在tstca里面没有对应的object，就会导致直接往S_TCODE中加事务代码不能使用的情况。
SAP权限架构概念权限对象Authorization objectSAP在事务码（T-code）的基础上通过权限对象对权限进行进一步的细分，例如用户有创建供应商的权限，但是创建供应商的事务码中有单独的权限对象，那么就可以通过权限对象设置不同的用户可以操作不同的供应商数据。
角色-Role同类的USER使用SAP的目的和常用的功能都是类似的﹐例如业务一定需要用到开S/O的权限。
当我们把某类USER需要的权限都归到一个集合中﹐这个集合就是“职能”(Role)。
所谓的“角色”或者“职能”﹐是sap4.0才开始有的概念﹐其实就是对user的需求进行归类﹐使权限的设定更方便。
(面向对象的权限!!)分为single role 和composite role两种﹐后者其实是前者的集合。
角色模板-Template RoleRole的模板﹐一般是single role.但这个模板具有一个强大的功能﹐能通过更改模板而更改所有应用(sap称为Derive“继承”）此模板的Role(sap称之为adjust)参数文件-Profile参数文件相当于指定对应的权限数据及权限组的定义。
每个角色下会产生一个附属的参数文件。
真正记录权限的设定的文件﹐从sap4.0开始是与Role绑定在一起的。
14.3.1 权限对象的创建及生成_SAP从入门到精通_[共3页]
![14.3.1 权限对象的创建及生成_SAP从入门到精通_[共3页]](https://img.taocdn.com/s3/m/8ae8ddda6c85ec3a86c2c5b4.png)
388
SAP从入门到精通
图14-3 权限维护界面
输入权限“名称”后，单击“Create Role ”按钮，即可进入权限维护细节界面，具体细节可以查看第4章权限创建部分的内容。
下面主要看一下权限创建后的结构部分，如图14-4所示。
从图中可以清楚地看到一个权限的体系结构。
我们创建的是一个采购权限，这个权限下包含了3个事务代码（ME21N 、ME22N 、ME23N ）。
权限事务一开始，会去检查权限字段为“TCD ”中所包含的事务代码是哪些，然后再去检查对应的权限对象，例如M_BEST_BSA 、M_BEST_EKG 、M_BEST_EKO 、M_BEST_WRK ，这些都是这个权限所包含的权限对象。
另外还可以看到，在每个权限对象的下面，还包含有一个权限字段叫“ACTVT ”，也叫“作业”。
可以看到，每个作业的后面都有01、02、03
等数字选项，单击“
”按钮，可以看一看这些字段指的是什么内容，如图14-5
所示。
图14-4 权限结构 图14-5 “作业”内容选项 从图中可以看到，01代表创建、02代表更改、03代表显示，每个数字都代表了具体的操作。
所以从这个例子就完全可以对应到之前所讲到的权限管理结构上。
14.3 事务代码、权限对象的创建及生成
SAP 系统中权限的创建在前面已经介绍过，本节介绍事务代码、权限对象的创建及生成。
14.3.1 权限对象的创建及生成
SAP 系统中有很多系统自带的权限对象，用户也可以自己创建权限对象。
本小节介绍权限对象的创建及生成，具体的操作步骤如下。
SAP权限对象运作及机制
這次因為設定權限，所以有機會接觸權限物件(Authority Object)，利用這個機會從程式面整理一下希望此文件對大家有所幫助，能更了解權限物件內部運作及機制，謝謝。
主要介紹整個應用流程如下(由於某些t-code需要Basis權限，所以在IDES上測試)：------------------------------------------------------------※●●自己畫的架構圖：●●●首先建立一個Domain●●●定義資料型態為Char1●●●在Value Range裡列舉A、B、C三類(會反映到我們設定object Value時，提供選單)●●●接著設定Data Element●●●為Data Element設定Domain●●●再來輸入交易代碼SU20設定權限欄位●●●新增權限欄位●●●其中Search Help會依據Data Element變化，若無也可自行設定●●●輸入權限欄位名稱及Data Element，可看出Search Help已自動帶出(因為Domain有設定)●●●輸入SU21，設定權限物件●●●如下圖，建立物件類別及權限物件●●●輸入物件類別名稱●●●設定權限物件，指定權限欄位●●●輸入SU24，設定交易代碼t-code及權限物件關係※●●(此設定會影響那些權限物件及物件值自動帶入PFCG，若沒有設定此步驟，則必須在PFCG手動加入)●●●輸入T-code●●●如下圖，可設定T-code及Authority Object、Value關係※●●這就可以解釋為何某些T-code和值會自動帶入到PFCG●●●設定PFCG-交易代碼●●●如下圖，可以看到ZTESTAUTH、欄位ZTESTFD及建議值B皆自動帶出(當然也可不設定SU24而手動加入權限物件)●●●此欄位帶出Domain的列舉值●●●指派user※●●程式撰寫，藉由AUTHORITY-CHECK OBJECT檢查權限物件欄位的值是否符合PFCG設定的值●●●登入測試user●●●執行測試程式●●●權限檢查成功●●●在設定時空值影響測試，下圖將值清空●●●權限檢查失敗●●●此時若將值改為space●●●權限檢查成功※●●這此可知某些空值是否會造成權限問題，還是要視程式寫法而定。
sap权限设定完整版
sap权限设定完整版s a p权限设定完整版集团标准化工作小组[Q8QX9QT-X8QQB8Q8-NQ8QJ8-M8QMN]权限设定操作手册权限维护1.注意1.1.用户、角色、事务代码、授权对象的关系用户：由几个角色组成角色：由一系列事务代码搭建事务代码：需要系统规定的必要授权对象才能运行授权对象：由它的参数来定义1.2.权限设定须谨慎权限设定非常重要，并且权限的排错查询非常繁琐、耗时，因此在做权限设定时一定要谨慎，每次更改都要记录。
1.3.测试环境下修改除非特殊情况，权限设定不允许在正式环境直接更改。
一般都是在测试环境修改、测试成功后，再传到正式环境。
1.4.拒绝不合理权限要求Basis不是决定用户权限范围的人，而是实际管理中大大小小业务流的管理者。
所以，变更权限设定，务必要求用户提供经过领导签核的申请表。
对于用户不合理的权限要求，顾问有责任拒绝。
2.角色维护2.1.作业说明基本由权限的大架构有User ID（用户），Role（角色），Profile（权限参数文件）三层，可知权限的设定也会有相应的三层。
目的SAP中的权限管理可以通过建立若干角色的方式进行，角色的定义为SAP中单个或者多个事务代码（T-Code）组成的一个角色定位。
角色是指在业务中事先定义的执行特殊职能的工作。
可以为单个的用户的需求去创建角色，也可以通过事务代码创建角色，然后分配给各个需要这些角色的用户。
创建角色主要有三种方式：手工创建。
适合所有新建角色的需求，主要对应权限追加；继承。
主要对应设定派生角色；复制。
主要对应设定基本的角色。
继承与复制创建角色的区别：用继承的方式建立新角色，继承后，只需要填写，Object就全部标识为绿灯。
用复制的方式建立新角色，需要在Object里填入值，Object才能全部标识为绿灯。
以上是两者操作上最大的区别。
2.2.创建单一角色事务代码与菜单路径PFCG –工具 -> 管理 -> 用户维护 -> 角色管理 -> 角色菜单此为事务代码输入栏后续作业工具列图示/其它说明备注输入事务代码可于命令栏输入[ 事务代码 ]并按ENTER键，执行程序鼠标双击(或)将鼠标光标停在欲执行对象，并双击鼠标左键。
SAP权限对象的创建与使用
CALL SCREEN 2000. “User is not authorized to create (Display only)
ENDIF.
12. Then assign this 2nd role to another user.
Figure 2
Now let’s implement this authorization in our ABAP program. Let say we have a dialog program(ZCOMM) wherein we have a button on the screen that when clicked, the user will go to the Create/Edit screen(1000) if he’s authorized. On the other hand, he will go to display only screen(2000) if he’s not authorized. To do that, simply add the code below on your program.
8. And also don’t forget to add the S_TCODE authorization object and enter ZCOMM on it’s field.
9. Now Click on the Generate button in the application toolbar and press enter on the pop-up screen.
3. Enter “ZTCODE” in the Field Name and “TCODE” in the Data Element, then hit Enter.
《SAP权限的设定》课件
定期审查权限设置，确保与组织政策和业务需求保持一致。
权限审计与监控
1 2
日志记录与分析
记录用户对系统的所有操作，以便进行审计和分 析。
异常检测
通过监控系统活动，及时发现异常操作或潜在的 安全威胁。
3
定期审计
对系统权限进行定期审计，确保权限设置符合组 织政策和最佳实践。
04 SAP权限的安全控制
案例二：用户管理与授权
总结词
用户是SAP系统中的具体操作人员，需要对用户进行 合理的授权管理，以确保系统的安全性。
详细描述
在SAP系统中，用户是具有登录和操作SAP系统的能 力的个体。管理员需要根据用户的职责和需求为其分 配相应的角色或权限。授权过程需要遵循最小权限原 则，即只授予用户完成工作所需的最低权限。在案例 二中，我们将介绍如何管理用户账户，包括创建用户 、分配角色或权限、设置登录参数等，以确保用户能 够安全、有效地使用SAP系统。
访问控制策略
用户身份验证
通过用户名和密码进行身份验证，确保只有授权用户能够访问SAP 系统。
角色管理
为不同用户分配不同的角色，每个角色具有不同的权限级别，限制 用户对特定功能和数据的访问。
权限审查
定期进行权限审查，确保用户只拥有完成工作所需的必要权限，避免 权限过度分配。
数据安全保护
数据加密
01
好地满足企业的实际需求。
02 SAP权限的设定流程
角色管理
01
02
03
角色定义
定义角色名称、描述，为 角色分配相应的职责和功 能。
角色授权
根据角色职责，为其分配 相应的权限，控制角色可 访问的模块和功能。
角色分配
将角色分配给相应的组织 单元或用户，实现权限的 集中管理和分配。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
创建自定义权限对象
步骤1：事务代码SU21（Maintain Authorization Objects），单击创建。
选择“Object class”（如果已经有的Object Class能满足需要则不要此步，直接做步骤三）
步骤2：填入Object class和Text名称，然后保存。
步骤3：单击创建，选择“Authorization Object”。
步骤4：填入Object，Text，class名称，在Authorization fields的fields name中加入需要控制的字段名，然后保存，完成自定义权限对象的创建。
（如果已经存在的字段没有满足需要的，则需要点击“Fields maintenance”按钮做步骤五）
步骤5：单击创建
步骤6：单击创建填入所需Fields Name, Data element, Table Name名称，保存。
返回步骤四，填入刚刚建好的字段名称，保存。
完成全线对象的创建。
步骤7：用事务代码PFCG，手工分配自定义的权限对象。
步骤8：在程序控制写入代码控制自定义权限对象。
Function module：EXIT_SAPLMGMU_001
INCLUDE ZXMG0U02.
*&---------------------------------------------------------------------*
*& Include ZXMG0U02
*&---------------------------------------------------------------------* TABLES: MAKT.
IF sy-tcode = 'MM01' OR sy-tcode = 'MM02'.
AUTHORITY-CHECK OBJECT 'ZMATNR' ID 'ACTIVITY' FIELD '01'.
IF sy-subrc NE 0.
SELECT SINGLE * FROM MAKT WHERE MATNR = WMARA-MATNR AND SPRAS = SY-LANGU. READ TABLE STEXT WITH KEY SPRAS = SY-LANGU.
IF SY-SUBRC = 0.
IF STEXT-MAKTX <> MAKT-MAKTX.
MESSAGE 'You have not the authority change material text' TYPE 'E'. ENDIF.
ELSE.
MESSAGE 'You have not the authority change material text' TYPE 'E'. ENDIF.
ENDIF.
ENDIF.
注意：Object name, Object field name及Object field值可根据实际情况修改。
上面示例程序定义为，Object field ‘ACTIVITY’= 01时为可修改物料描述
当‘ACTIVITY’等于其他值时则未不可修改。