《SAP系统权限培训文档课件.ppt》由会员分享，可在线阅读，更多相关《SAP系统权限培训文档课件.ppt（64页珍藏版）》请在三一办公上搜索。
1、2023年3月25日星期六,SAP系统权限培训文档,目录,二、SAP系统的环境 三、权限的基本概念 四、用户和角色的创建 五、权限设置的注意事项,一、权限的重要性,权限的重要性,在SAP系统中，业务人员是否能够行使该业务范围的操作是由权限来实现的。权限工作的好坏是系统能否成功上线的基础之一。最终用户是权限的直接使用者，权限设计的好坏会直接影响到最终用户对使用ERP系统的信心。,权限的重要性,权限实施工作的重要性权限实施是ERP系统上线的必备条件之一，权限设计的合理性、实施的准确性和测试的精准度是系统能否成功上线的基础之一。在权限设计、实施和测试全过程，由于地区公司人员最了解其自身业务，因此由地
2、区公司权限组全程参与权限设计和实施工作，将从ERP技术角度和地区公司业务角度双重保障权限实施的质量，进而保证ERP项目的顺利上线。,权限的重要性,权限运维工作的重要性 在项目上线及运维阶段，系统处于稳定运行状态，权限变更安全合理才能防止越权和误操作发生，从而保证系统数据安全。通过ERP项目权限组和地区公司权限组在权限设计实施期间的相互配合，提高了地区公司权限组的问题处理能力，将在项目进入上线支持及运维期后，有效保证了权限变更工作的顺利进行。,5,日期Date:,目录,一、权限的重要性 三、权限的基本概念 四、用户和角色的创建 五、权限设置的注意事项,二、SAP系统的环境,R,SAP 系统环境,
3、PetroChinaSystem Landscape,开发系统,测试系统,生产系统,SAP系统采用SAP 4 Systems Landscape架构,此架构中包含三套SAP系统：开发系统、测试系统、生产系统、生产支持系统。它们的作用分别如下。所有的开发和配置工作都应在开发系统中进行，修改的对象在开发系统上进行初步的测试后可以将其传送到测试系统上。在测试系统中对新开发的内容进行全面的测试，由于是独立的系统，这些测试都可以在不影响生产下进行。需要传输的对象在通过测试后才可以传输到生产系统。,生产支持系统,环境同步,传输路径,R,PetroChinaSystem Landscape,开发系统,测试系
4、统,生产系统,开发系统 Development(DEV)SAP项目的实施系统，各种业务模块的客户化工作、相关的应用开发等在该系统中进行。并提供进行单元测试的环境。,生产支持系统,环境同步,传输路径,SAP 系统环境,R,PetroChinaSystem Landscape,开发系统,测试系统,生产系统,测试系统 Quality Assurance(QAS)为各种客户化和开发工作提供完整测试的系统，其中存有企业实际业务数据，用以验证客户化和开发的正确性。同时，此系统亦用于关键用户及最终用户的培训。,生产支持系统,环境同步,传输路径,SAP 系统环境,R,PetroChinaSystem Land
5、scape,开发系统,测试系统,生产系统,生产系统 Production(PRD)企业日常运转实际使用的系统，其中存有企业的完整业务数据，生产系统中不允许直接做客户化或开发。,生产支持系统,环境同步,传输路径,SAP 系统环境,R,PetroChinaSystem Landscape,开发系统,测试系统,生产系统,生产支持系统如果最终用户在使用ERP系统过程中，遇到系统问题。需要运行支持人员在系统中重现其问题，并加以解决。通过定期将生产系统的数据复制到生产支持系统，可以完整模拟生产系统的数据。同时，生产支持环境可以模拟对生产系统进行系统压力测试。,生产支持系统,环境同步,传输路径,SAP 系统
6、环境,日期Date:,目录,一、权限的重要性 二、SAP系统的环境 四、用户和角色的创建 五、权限设置的注意事项,三、权限的基本概念,权限的基本概念,名词解释：,User account就是我们平常说“USER ID”(注意用户类型）dialog用户权限：它允许或禁止用户在系统中进行操作和处理事务，一般以角色分配给用户角色（Role）权限的集合，基于业务要求创建 所谓的“角色”是sap4.0才开始有的概念其实就是对user的需求进行归类使权限的设定更方便。分为single role 和 composite role两种后者是前者的集合，我们需要创建的是single role。Profile:真
7、正记录权限的设定的文件,和角色绑定在一起，一个角色生成一个PROFILE。权限对象：被授权的业务对象，由字段值和参数组成。,日期Date:,SPEX SAP R/3 Project Version 1.0 Authorization Concept,用 SAP 的语言来说.,权限的概念授权,授权级别图,日期Date:,权限的概念授权对象,授权对象=运行事务的权限,=,没有 授权对象,没有事务权限,日期Date:,SPEX SAP R/3 Project Version 1.0 Authorization Concept,进入一个 SAP 事务代码 就好象.,权限的概念授权对象,日期Date:,
8、SPEX SAP R/3 Project Version 1.0 Authorization Concept,即使只缺少一个对象，用户都不能够运行事务代码,权限的概念授权对象,用户是由几个角色组成的,角色下包括一些事务代码,角色下包括的事务代码,权限的概念授权Profile,Profile:真正记录权限设定的文件,Profile与Role是捆绑在一起的。,在建立Role的时候 Profile是会自动创建的，（有弊端），我们根据每个项目每个模块的不同，根据需求表对每个角色定义一个profile。,Authorization Profile,Object class,权限对象（Authorizat
9、ion object）,参 数,权限的概念权限对象,业务、岗位及用户之间的关系,用户：基于业务要求而赋予岗位相适合的角色，用户和角色一对多的关系角色：执行相关业务所需要的权限集合。,业务关键点,业务关键点,业务关键点,角色A,角色B,角色C,用户1,用户2,业务流程,岗 位,用 户,日期Date:,目录,一、权限的重要性 二、SAP系统的环境 三、权限的基本概念 五、权限设置的注意事项,四、用户和角色的创建,USER ID 的命名规则,SAP系统分为门户和后台两类系统，后台系统包括ECC和BI系统。在所有SAP系统中，同一用户的ID是唯一的，用户ID最长不超过12位。ERP用户ID以中石油邮箱
10、用户名为准，要求不超过11位（预留出一位做为区分cnpc与petrochina邮箱）。如果没有邮件地址，必须申请一个不大于11位的邮箱地址。有邮件地址的用户，取邮件地址的用户名为用户ID；如果用户名超过11位，应另外申请一个不大于11位的邮箱地址；举例如下：正常用户名：，ID：ZHANGXING 超长用户名：，重新申请：ZHANGXINGY注：保留一位是为区分CNPC和PetroChina不同邮箱，如果产生冲突，则在用户名前加前缀，集团ERP用户ID前加前缀V，股份ERP用户ID前加前缀U。举例如下：CNPC：，ID：VZHANGXING PetroChina：，ID：UZHANGXING,日
11、期Date:,日期Date:,相关事务代码,SU01用户维护,PFCG角色维护,SU24维护事务权限对象的分配,SU3维护用户参数文件,SU53显示用户的权限数据,SUGR 维护用户组,SUIM用户信息系统,SU10用户批维护,日期Date:,USER ID 的建立,T_code SU01,SU01,SU01,USER ID 的建立,日期Date:,日期Date:,USER ID 的建立,填好这些字段,注：1、“姓”为必填项2、通讯方法选择：INT E-mail3、如果输入座机号，分机号必须填写00,USER ID 的建立,选择“对话”类型,设定初始密码,用户组选择此用户对应的组，地区二级管理
12、员管理,USER ID 的建立,这些都是必填项,USER ID 的建立,用户组要与前面设置相同，这个用户组是总部技术组管理用户用的,USER ID 的建立,点击SAVE，这个用户就创建好了,帐号的批维护,有时我们需要对账户进行批量维护,例如：当公司地址变了，需要变更所有用户的公司地址。月结时，需要将除了月结人员外，其它的所有用户暂时锁定。,T_CODE：SU10,USER ID批量修改,全选用户后，点击transfer,可以批量修改“新疆油田咨询顾问”的前台信息，包括添加角色、锁定用户等,创建用户组,T_CODE：SUGR,例如：创建勘探与生产项目大港油田顾问用户组 EDGYTZXGW,业务板
13、块缩写,项目名称缩写,咨询顾问,ROLE 的建立,T_CODE：PFCG,USER ID创建好了但这时这个USER ID没有任何权限是什么都不能做的。USER得到这样的帐号没有任何意义。如何分配权限给用户主要是分配 Role 给这个帐号。下面我们看看如何建Role和分配权限。,ROLE 的建立,创建Role主要有三种方式：1.新建2.继承3.复制（COPY）,根角色的创建,输入role的角色,描述须能表示Role的内容及属性,根角色的创建,点击“事务”添加tcode,按照profile命名规则进行命名,根角色的创建,标准T-code所需要的Object,系统会自动列出来,组织级别没有维护,OB
14、JECT只有部分维护,OBJECT已经全部维护,请注意绿灯只是表示全部维护但不一定就是我们所需要的值。,根角色的创建,根角色的创建,在这里介绍一下 的作用点击它就相当于给这个Object一个“*”(star)“*”的意义是All Authorization不卡任何权限。,根角色的创建,然后按 激活，退出,已经变成绿灯这表示权限的设定已经可用了,点击，再点击,此权限已经分配完毕，test001这个帐号已经具有了主数据维护的权限,派生角色的定义,所谓派生角色,是指根Role和派生Role形成这样的母子关系派生Role的所有权限、权限对象（组织级别值除外)都源于根Role,并与根Role保持一致。根
15、Role与派生Role是一对多的。,根角色与派生角色之间的关系,公司,组织机构,地区公司1,地区公司3,员工1,地区公司2,根角色A,角色,派生角色A1,地区公司1,地区公司2,地区公司3,地区公司1,地区公司2,地区公司3,根角色B,根角色C,根据根据岗位分配,按限制范围派生出不同的子角色,员工2,员工3,员工1,员工2,员工3,员工1,员工2,员工3,派生角色A1,派生角色A1,派生角色B1,派生角色B1,派生角色B1,派生角色的创建,根据公司代码派生的，创建好后点击“创建角色”,组织级别代码字典表,派生角色的创建,角色继承就是通过这,派生角色的创建,这时候的派生角色还没有完全继承，要返回
16、根角色里点击 生成派生角色,这时候一个派生角色就创建完成了,角色的复制,输入角色，点击copy复制角色,这时候一个角色就复制完成了,角色的创建-继承与复制,小结 用继承的方式建立新Role，继承后，只需维护好组织级别Object就全部是绿灯了。用复制的方式全部是绿灯。这是两者操作上的最大区别。,角色的修改,对Role的修改最常见的就是T-code的新增/删除，这种改动一般是从菜单开始（派生角色不能修改T-code）。,添加VF01（创建客户发票）,角色的修改,角色的修改,当Role所包含的T-code经过修改后可能含有多个同样的Object其Value可能互相包含。这时可以通过合并的动作使同一
17、个Object内Value相同或者互相包含的项合并起来使权限的条目更清晰。,Debug/查看,有一些工具对权限的问题处理很有帮助 1.SU532.SUIM 3.SU24,Debug/查看-SU53,当一个帐号反映没有某个应有的权限时我们可以在系统出现没有权限的信息时马上输入“/NSU53”,Debug/查看-SU53,但是请注意SU53给出的信息并不详细大部分情况只能作为一个大方向的参考有时还可能指示不出来问题所在。,Debug/查看-SUIM,SUIM其实就是Information 系统的一个集合界面。我们最常用的功能是已知某个T-code查找含有这个T-code的Role。,Debug/查
18、看-SU24,查看XD01含有哪些权限对象，哪些是需要检查的,Debug/查看-SU24,查看F_KNA1_BED检查哪些Tcode,几点需要注意的地方,权限设定非常重要而且一旦出现问题，排错非常繁琐、耗時,所以请大家设定时一定要非常谨慎,每次更改都要记录。权限设定不允许在测试、生产系统更改必须在开发系统修改好传到测试、生产系统。决定user权限的人不是IT人员而是team leader所以要变更用户权限务必要求用户提供经过审核的申请表。对于user不合理的权限要求IT人员有责任退回。,日期Date:,日期Date:,目录,一、权限的重要性 二、SAP系统的环境 三、权限的基本概念 四、用户和
19、角色的创建及命名规则,五、权限设置的注意事项,第一轮权限测试要做细,在权限测试过程中，最少应进行两轮测试，第一轮测试需对每个模块抽取一个种子角色进行测试，这个测试过程非常重要，在以后的角色创建过程中，都将会对这个角色进行复制工作。因此第一轮测试应该安排的时间最长，做的最完善，以免以后造成重复工作。在做第一轮测试时应注意如下事项：,日期Date:,权限测试注意事项,权限测试要重视，要指派专门的业务人员与权限管理员共同完成整个测试过程。每个事务代码都要测试，避免发成遗漏的现象。根角色中的权限对象要避免重复，对于重复的权限对象要对其进行合并，在角色中避免出现红色OBJECT值的现象。修改authorizition object时要注意能否继续派生。在做权限过程中，注意更新文档，与系统保持同步。,日期Date:,
