SAPERP权限管理[1]
SAP系统权限设置和修改操作流程_v1.0
济南分公司SAP系统权限设置
和修改操作流程
1．概述
1.1目的
规范SAP用户权限设置和修改的操作流程，加强SAP用户权限的管理，保证SAP系统的安全、稳定运行。
1.2读者
SAP系统的最终用户和SAP系统的用户、权限管理员。
2.用户权限设置和修改操作流程
2.1用户权限的设置
权限管理员根据“中国石化济南分公司ERP最终用户申请表”相关栏目的内容，对用户管理员所创建的用户ID赋予相应的权限。
2.2用户权限的修改
ERP最终用户由于岗位或者业务范围的调整，需要对其权限进行修改（增加或者减少权限）时，必须填写“中国石化济南分公司ERP最终用户权限修改申请表”（请参见附表三），经所在单位的主要领导审核批准后，交信息中心。
经信息中心领导审核后，权限管理员在SAP系统中，手工对相应用户ID进行权限的修改，并通知用户本人。
附表三
中国石化济南分公司
2、“功能模块”指用户使用SAP中的功能模块，其中有：FI/CO—
财务/成本管理，PP—生产计划， SD—销售/分销，MRO—物料采
购管理，MM—物料管理，PM—设备维护，HR—人力资源。
单位（部门）负责人（签章）：
年月日
信息中心审核：
年月日
2。
SAP 权限管理
User Role﹕是指根据每个user的具体需求进 行设定的权限的Role.
◦ 命名特征是﹕
―Z+‖USER ID开头（东莞﹑台湾地区） “W+‖ USER ID开头（吴江地区）
全球共同Basis Role﹕是指此职能关系到整个 系统的安全的那部分权限的Role.
◦ 命名特征是 “Y+‖开头 例如 “Y + CO – CO ‖
•
例外权限﹕这是公司创造的名词。当一个USER除 了其职位一般所需的权限外﹐还需要一些特殊的权 限﹐我们把这些权限称之为这个USER的例外权限。 例如开工单对生管来说是其职能应有的权 限﹐但对仓库来所就是例外权限。
Role的命名规则和分类如下: 以“G+‖开头都是Template Role(模板)﹐都不会 直接assign给user id。
上面说过﹐权限的大架构由User ID, Role, Profile三层组成﹐那么﹐权限的设定自然也 会有三层。但由于sap4.6是Profile与Role是捆绑 在一起的﹐所以在建立Role的时候﹐Profile是会自 动创建的（具体见后文）。而User ID的建立比较 简单。所以﹐我将主要说明Role的部分。
1.总述 2.职能/Template Role/设定的分工 3.三种不同的常规权限的设定方法 4.常规以外的权限设定方式 5.如何快速检查权限设定的情况
1.在开始学习之前 2.SAP权限的架构
在开始了解权限前,有几点是要大家注意的 1.权限设定非常重要﹐而且权限的DEBUG操作 非常繁琐,耗时,所以请大家设定时一定要非常 谨慎,每次更改都要记录。 2.权限设定除非特殊情况﹐不允许在正式环境 直接更改﹐请在测试环境修改好再传到正式环 境。 3.MIS不是决定user权限的人﹐而是user大大 小小的leader﹐所以﹐要变更权限设定﹐务必 要求user提供经过签核的申请表。（当然﹐对 user不合理的权限要求﹐MIS也有责任退回） 4.权限的设定,是MIS的工作.（废话）所以﹐本 教材是MIS内部教材﹐请不要随便泄漏
SAPERP权限管理
SAPERP权限管理具有精细化、动态性、灵活性等特点，能够根据企业的实际需求和业务流程，对不同角色的用户进行权限的精细分配，并实现权限的动态调整和灵活控制。
特点
定义与特点
1
2
3
通过对用户权限的严格控制，可以避免数据泄露、非法访问等安全问题，保障企业数据的安全性和完整性。
数据安全
合理的权限配置可以确保业务流程的顺畅进行，避免因权限不足或权限冲突导致的工作延误或错误。
角色管理
用户创建
根据组织结构和工作需求，创建系统用户。
用户状态管理
管理用户启用、禁用等状态，确保系统安全。
用户信息维护
记录用户的基本信息，如姓名、职位、联系方式等。
用户管理
权限梳理
梳理业务流程，明确各角色所需权限。
权限配置
根据角色和业务需求，配置系统权限。
权限审核
对配置的权限进行审核，确保权限合理且安全。
数据级权限是针对单个数据记录的控制，确保只有授权用户才能访问和修改相应的数据记录。
03
SAPERP权限管理流程
定义角色
根据组织结构和业务需求，创建不同角色，如财务、采购、销售等。
角色分配
将角色分配给不同的业务部门或团队，以便统一管理权限。
角色更新
根据业务变化和需求调整角色，确保权限与实际业务相匹配。
详细描述
在SAPERP系统中，由于角色、用户和权限的复杂性，容易出现权限冲突的问题。例如，同一用户可能在不同的角色中拥有不同的权限，导致在执行某些操作时出现冲突。
解决方案
为了解决权限冲突问题，需要进行细致的权限梳理和审查。首先，对所有用户的角色和权限进行全面清查，识别出存在冲突的角色和权限。然后，根据业务需求和岗位职责，对角色和权限进行调整，确保每个用户的权限都是清晰、准确且无冲突的。
SAP-系统用户授权管理规定(汇编)
ERP[ ]号XXX SAP系统用户授权管理规定XXX 从2002 年6 月1 日起全面实施应用了德国SAP 的ERP 系统，实施该系统后，公司几乎所有的与生产、销售、财务、物料、管理相关的数据资料全部集成在该系统中，所以系统数据的安全性和整个系统的稳定性关系到公司的重大利益。
为了使公司的所有SAP用户都能正确安全的使用SAP系统，保护公司资源，加强防范措施，维护公司利益，针对企业内部SAP系统的用户授权管理问题，特作如下规定：一、授权管理：1、ERP项目上线后，所有用户授权和角色变更，进行严密的审批控制方式进行管理。
分别经过：部门主管、部门经理、事业部分管副总、ERP项目组、ERP项目分管副总裁审批。
2、XXX所有事业部及其子公司中所有使用SAP系统的部门，均需要在部门内指定具体人员负责本部门关于SAP系统用户、权限和所有相关申请方面的管理（通常为部门文员负责）工作。
并依据本管理文件规定，负责落实本部门所有相关工作。
3、根据不同使用部门，对SAP用户数量进行限额管理。
严格限制用户无序增长。
事业部各部门每年12月份，需要根据部门来年的业务扩展计划，制定SAP用户需求计划。
经各事业部综合办统一汇总并经事业部分管副总裁批准后，交ERP项目组备案，作为来年SAP系统规划参考。
4、用户申请、更改、用户注销和权限变更，均要走本《XXX SAP系统用户授权管理规定》的申请流程。
5、所有需要申请新用户的人员，部门必须先安排在相应的岗位学习熟悉2个月（60天）以上，部门文员才可以给新用户申请用户和授权。
而且部门要指定专人进行相应岗位的SAP操作技能的交接，或指定导师来负责带其熟悉并撑握相关的业务及SAP操作技能。
否则，ERP项目组不给予批准授权，且因此而造成的所有不良后果，均由用户部门承担。
6、各事业部的部门对本部门SAP用户直接负责监控。
负责对用户岗位、权限范围和安全保密工作的监督。
各部门文员要做好各部门所有SAP用户的统计登记工作，整理《XXXSAP用户授权清单》，格式见附件。
sap权限设定完整版
sap权限设定完整版s a p权限设定完整版集团标准化工作小组[Q8QX9QT-X8QQB8Q8-NQ8QJ8-M8QMN]权限设定操作手册权限维护1.注意1.1.用户、角色、事务代码、授权对象的关系用户：由几个角色组成角色：由一系列事务代码搭建事务代码：需要系统规定的必要授权对象才能运行授权对象：由它的参数来定义1.2.权限设定须谨慎权限设定非常重要，并且权限的排错查询非常繁琐、耗时，因此在做权限设定时一定要谨慎，每次更改都要记录。
1.3.测试环境下修改除非特殊情况，权限设定不允许在正式环境直接更改。
一般都是在测试环境修改、测试成功后，再传到正式环境。
1.4.拒绝不合理权限要求Basis不是决定用户权限范围的人，而是实际管理中大大小小业务流的管理者。
所以，变更权限设定，务必要求用户提供经过领导签核的申请表。
对于用户不合理的权限要求，顾问有责任拒绝。
2.角色维护2.1.作业说明基本由权限的大架构有User ID（用户），Role（角色），Profile（权限参数文件）三层，可知权限的设定也会有相应的三层。
目的SAP中的权限管理可以通过建立若干角色的方式进行，角色的定义为SAP中单个或者多个事务代码（T-Code）组成的一个角色定位。
角色是指在业务中事先定义的执行特殊职能的工作。
可以为单个的用户的需求去创建角色，也可以通过事务代码创建角色，然后分配给各个需要这些角色的用户。
创建角色主要有三种方式：手工创建。
适合所有新建角色的需求，主要对应权限追加；继承。
主要对应设定派生角色；复制。
主要对应设定基本的角色。
继承与复制创建角色的区别：用继承的方式建立新角色，继承后，只需要填写，Object就全部标识为绿灯。
用复制的方式建立新角色，需要在Object里填入值，Object才能全部标识为绿灯。
以上是两者操作上最大的区别。
2.2.创建单一角色事务代码与菜单路径PFCG –工具 -> 管理 -> 用户维护 -> 角色管理 -> 角色菜单此为事务代码输入栏后续作业工具列图示/其它说明备注输入事务代码可于命令栏输入[ 事务代码 ]并按ENTER键，执行程序鼠标双击(或)将鼠标光标停在欲执行对象，并双击鼠标左键。
SAP系统权限管理
2017年第11期信息与电脑China Computer&Communication软件开发与应用SAP系统权限管理林黎颖（上海汽车变速器有限公司，上海 201800）摘 要：随着公司集中化管控的不断深入，下属企业也纳入SAP系统管理，SAP系统作为公司的核心关键系统，贯穿集团的整个业务链，按照财政部等五部委联合颁布的《企业内部控制基本规范》《企业内部控制应用指引》，结合国际国内实践，重构SAP系统权限架构，引入DESK系统，发现SAP授权管理相关的内部控制缺陷并进行整改，从设计层面与执行层面两个维度提出解决这些问题的管控手段和方法，从而帮助公司提升SAP ERP系统权限管控的效率和效果，建立健全的内部控制体系，提升权限管控的自动化管理水平。
关键词：根角色；派生角色；事务代码；不相容性中图分类号：TP309 文献标识码：A 文章编号：1003-9767（2017）11-111-02SAP System Privilege ManagementLin Liying(Shanghai Automobile Gear Works, Shanghai 201800, China)Abstract: With the deepening of the company's centralized management, subordinate enterprises are also included in SAP system management, SAP system as the company's core key system, throughout the Group's entire business chain, in accordance with the Ministry of Finance and other five ministries jointly promulgated the “Basic Norms of Internal Control”, “Guidelines for the Application of Enterprise Internal Control”, combined with the international and domestic leading practice, the SAP system authority structure is reconstructed, the DESK system is introduced, the internal control defects related to SAP authorization management are found and rectified, the means and methods are proposed to solve these problems from two dimensions of design level and implementation level, which helps company improve the efficiency and effectiveness of SAP ERP system control, establish a sound internal control system to enhance the authority of the level of automation management.Key words: root role; derived role; transaction code; incompatibility1 业务背景SAP系统是公司的核心业务系统，贯穿整个公司的财务、制造、销售、采购、物流等重要环节，特别是2016年，下属企业柳州和烟台变速器公司同步SAP上线，被上级集团公司纳入企业内控审计和外部审计工作的范畴。
ERP系统用户及其权限管理办法
ERP系统用户及其权限管理办法ERP系统用户及其权限管理办法第一章总则为了加强对全公司范围内ERP系统用户的管理，保证ERP系统的安全、稳定运行，提高系统的使用效率，规范ERP系统用户建立、变更和权限变更的操作流程，特制定本办法。
本办法适用范围为ERP系统所覆盖的业务部门及相关岗位以及最终用户和ERP系统的系统管理员。
名词解释：1.用户ID：用户Identify即SAP系统用来标识用户的名称，一般简称ID。
如某用户ID为GQ8888即表示该用户在SAP系统中的名称为GQ8888.2.最终用户：所有ERP系统的操作人员，或者说拥有SAP用户ID的人员都是系统的最终用户。
3.关键用户：关键用户是参与ERP系统建设、实施的各业务条线的骨干，熟悉系统中本业务范围内的业务流程和权限分配，熟悉权限角色的详细定义，能解决最终用户在系统应用中业务方面的问题。
4.系统管理员：信息中心负责ERP系统的日常维护、备份、用户权限变更管理以及保证系统正常运转的人员。
5.用户ID的分类：在SAP系统中，用户ID分为专用用户ID和临时用户ID。
专用用户ID就是由唯一的用户使用此ID，则此用户即为ID持有人必须对此ID在系统中的行为负责，并管理好密码；临时用户ID就是由一临时用户（一般是提供技术支持人员）使用此ID，应由开设此ID的部门人员（一般是同意开设此ID的审批人员）负责对系统中该用户行为的控制和密码的管理。
第二章职责1.系统管理员：对用户ID使用状态进行定期检查。
负责按用户的申请单进行用户建立、变更、权限变更和ID锁定、解锁以及密码重置工作。
2.关键用户：在建立新ID或用户发生权限变更时填写申请单中权限角色部分。
3.最终用户：妥善保管本人的密码，有变更权限等需求时如实详细填写相应的申请单。
4.使用部门：监管本部门最终用户的使用，根据使用情况与需求，组织填报相关申请。
第三章实施第十四条：最终用户的权限在建立用户时根据规则给定。
[整理版]SAP ERP权限操作手册繁体版
![[整理版]SAP ERP权限操作手册繁体版](https://img.taocdn.com/s3/m/9ee18f427cd184254a353546.png)
許可權設定操作手冊許可權維護1.注意1.1.使用者、角色、事務代碼、授權物件的關係-用戶：由幾個角色組成-角色：由一系列事務代碼搭建-事務代碼：需要系統規定的必要授權物件才能運行-授權對象：由它的參數來定義1.2.許可權設定須謹慎-許可權設定非常重要，並且許可權的排錯查詢非常繁瑣、耗時，因此在做許可權設定時一定要謹慎，每次更改都要記錄。
1.3.測試環境下修改-除非特殊情況，許可權設定不允許在正式環境直接更改。
-一般都是在測試環境修改、測試成功後，再傳到正式環境。
1.4.拒絕不合理許可權要求-Basis不是決定用戶許可權範圍的人，而是實際管理中大大小小業務流的管理者。
-所以，變更許可權設定，務必要求用戶提供經過領導簽核的申請表。
-對於用戶不合理的許可權要求，顧問有責任拒絕。
2.角色維護2.1.作業說明-基本由許可權的大架構有User ID（用戶），Role（角色），Profile（許可權參數檔）三層，可知許可權的設定也會有相應的三層。
-目的SAP中的許可權管理可以通過建立若干角色的方式進行，角色的定義為SAP中單個或者多個事務代碼（T-Code）組成的一個角色定位。
角色是指在業務中事先定義的執行特殊職能的工作。
可以為單個的用戶的需求去創建角色，也可以通過事務代碼創建角色，然後分配給各個需要這些角色的使用者。
-創建角色主要有三種方式：手工創建。
適合所有新建角色的需求，主要對應許可權追加；繼承。
主要對應設定派生角色；複製。
主要對應設定基本的角色。
-繼承與複製創建角色的區別：用繼承的方式建立新角色，繼承後，只需要填寫Org.level，Object就全部標識為綠燈。
用複製的方式建立新角色，需要在Object裡填入值，Object才能全部標識為綠燈。
以上是兩者操作上最大的區別。
2.2.創建單一角色-事務代碼與功能表路徑PFCG –工具 -> 管理 -> 用戶維護 -> 角色管理 -> 角色-菜單此为事务代码输入栏-後續作業工具列圖示/其它說明備註輸入事務代碼可於命令列輸入[ 事務代碼 ]並按ENTER鍵，執行程式滑鼠按兩下(或)將滑鼠游標停在欲執行物件，並按兩下滑鼠左鍵。
SAP ERP系统用户及权限管理模式研究
后 台 配 置 进 行 修 改 或 操 作 ， 限 范 权 围综 合 了最 终 用 户 和 支 持 用 户 。
５） 级 管 理 员 用 户 即 系 统 管 超
理 员 ． ＥＲＰ 运 维 部 内 部 人 员 担 由
修 改 本 地 角 色 ， 由 于 本 地 角 色 和 模 板 角 色之 间 的继 承关 系会 使修
与反 馈 的闭环 管理 流程 。
根 据 用 户 需 求 的 不 同 ，大 致 可将 Ｅ ＲＰ 系 统 中 用 户 及 权 限 的 管 理 流 程 分 为 ：用 户 新 增 管 理 流
程 、 限 变 更 管 理 流 程 、 码 及 解 权 密 锁 管 理 流 程 、 批 量 加 解 锁 管 理 流
的 各 类 ＲＦ 用 户 ． 户 类 型 为 通 Ｃ 用
投 人 运 行 ， 资 管 控 、 计 系 统 等 人 审 项 目 也 在 紧 锣 密 鼓 的 实 施 中 。这
种 用 户 使 用 覆 盖 面 广 、业 务 种 类
信 用 户 ， 别 于其 他对 话用 户 ， 有 权 限 范 围 仅 涉 及 外 部 ＲＦ 连 接 访 Ｃ
瞪
…
…
…
～
…
＊
…
…
…
…
…
＊
Ｌ ＣＴＲ！ Ｐ０Ｗ 巨｝ Ｔ Ｅ Ｃ ＝ ｛ｌ
Ｓ ＡＰ 系 统 中 对 用 户 权 限 设 计 的 原
用
户
则 基 于模 型化 的思 路 每 个 具 体 操 作 为 权 限 的 基
本 单 位 设 置 本 地 角 色 ， 再 根 据 同 类 型业 务操 作将 本 地 角色 组 合后
业务操作角色测试工作简单 。 不
流程驱动的SAP权限管理解决方案简介_V1.0
流程驱动的SAP权限管理解决方案简介_V1.0SAP 系统刚上线时，您关注较多的可能是系统能否顺畅运行、数据是否准确，财务帐是否能对得上等等，对于系统内的权限管理问题，可能您关注得并不多。
事实上，随着SAP这样大集成系统的上线运行，企业运营信息的储存、加工和传递效率被极大地提高了。
但是，任何事务都是有两面性的，实时性和集成性增加的同时也会加大企业运营的风险。
这种风险主要体现在两个方面，一是如果授权不当，员工获取企业运营信息的深度和广度可能会远远超过其工作所需的范围，这会大大增加泄密的可能性；二是一旦授权不当，让原本没有必要操作或加工这些信息的员工拥有了这些权力，就会大大增加管理失控的风险性。
因此，我们建议您关注一下SAP系统的权限管理问题，因为这绝对不是一个IT问题，而是一个跨部门、跨流程的重要的企业管理问题。
在认真分析了您企业的SAP权限管理体系后，如果您发现存在如下问题，那么您的企业可能就需要实施一套SAP权限管理的解决方案了。
- 没有一套清晰且明确的授权规则随着SAP系统运行越来越顺畅，使用者渐渐感受到了系统所带来的价值，于是大家便会要求给自已开通各种功能并增加相应的权限。
而对于IT部门的系统权限管理人员来说，面对大量的申请，似乎并不能找到一个清晰且明确的标准。
于是，请部门主管审批便成了一个最为有效的解决方案。
只要相关的部门主管认可，IT部门即予开通。
然而，这仅仅是从管理职责上解决了谁负责的问题，并未解决权限管理的本质问题。
即给某员工开通一个权限或不开通一个权限，是由某一个人来判断，还是由一套规则来决定。
无论是从规范化、科学化和精细化管理的角度来说，还是从风险控制的角度来说，授权体系的管理肯定是上述两者的结合，光有前者是远远不够的。
对于实施了SAP系统的企业来说，应先建立一套基于业务活动的SAP系统权限管理规则。
对于某一位员工来说，究竟应该拥有什么样的权限，首先应取决于其在企业业务流程中所承担的角色及从事的活动。
操作手册 SAP用户与权限管理文档v1.0
页 1
上海嘉冰信息技术有限公司
一、安装 SAP 客户端
当你第一次通过 SAP 客户端使用 SAP 产品时， 首先你需要安装 SAP 的客户端， 即我们通常 所说的 SAP Gui。
1.1 安装 SAP 客户端
(1) 找到 SAPGui 安装目录，双击 SapGuiSetup.exe 文件。
(2) 在弹出的安装界面选择
上海嘉冰信息技术有限公司
用户与权限管理文档 一、安装 SAP 客户端 ..................................................................................................................... 2 二、配置 SAP 客户端 ..................................................................................................................... 4 三、用户管理................................................................................................................................... 6 3.1 登录 SAP 服务器 ....................................................................................................................... 6 3.2 从无到有建立用户..................................................................................................................... 9 3.3 从其它用户复制用户............................................................................................................... 13 3.4 删除用户................................................................................................................................... 14 3.5 锁定/解锁用户 ......................................................................................................................... 15 3.6 初始用户密码........................................................................................................................... 15 3.7 给用户分配角色....................................................................................................................... 16 四、用户的批量维护..................................................................................................................... 17 五、PFCG....................................................................................................................................... 22 六、ST01&SU53 使用手册 ........................................................................................................... 38 七、BW 权限管理 ......................................................................................................................... 50 八、 SUIM..................................................................................................................................... 64 九、SU20 ....................................................................................................................................... 97 十、SU21 ..................................................................................................................................... 102 十一、SU22&SU24 ..................................................................................................................... 110
SAP权限管理解决方案
SAP权限管理解决方案Authorization Management Solutions for SAP背景概述1“SAP系统的庞大与复杂，企业权限日常管理手段的缺失，闲置账号资源和会话管理的不便，面向用户行为审计和日志追溯等系列问题，给SAP 应用企业带来了使用成本的不断增长和诸多业务风险的管控挑战。
”授权体系监管策略的不足 系统应用成本的日益增长通过实施一组高效易用的IT 自动化工具，辅助SAP 系统用户账号和权限的治理，防范、降低、控制、处理权限违规造成的业务风险，精确应对企业内审外审带来的问题，大幅降低系统管理和使用成本。
系统未知的审计法律风险 业务舞弊系统安全等隐患连峰AMS （Authorization Management Solutions for SAP ）权限管理解决方案是以SAP 系统权限风险控制及注册用户账号管理为目标的产品体系，目前版本包含AMS-R 、AMS-V 两个产品，其中AMS-R 针对权限运行结果审计，AMS-V 针对帐号权限操作控制。
两者既可协同工作，又可根据不同侧重独立部署应用。
管控系统权限降低使用成本连峰AMS for SAPSAP ECC SAP R/3SAP BWSAP EWMSAP 其他产品系统...RFC 函数实时双向同步、异步处理USR02等权限数据AMS 基础数据http://audit....拦截记录访问请求用户替换绑定权限安全网关账号动态权限分配日志信息记录权责互斥SOD 矩阵敏感权限SAT 清单事前审计SAP JCO补偿控制协议解析S A P用户行为管理S A P账号分时复用网关账号池账号未登账号并发账号分时复用超级账号会话管理分组设置超时管理权限分配网关日志行为日志查询日志过滤配置日志备份输出会话频率统计例外会话管理查询导出追溯敏感事物追溯日志操作查询超级账号业务业务凭证查询连峰AMS-V 安全网关应用系统连峰AMS-R 权限审计管理系统SOD 审计管理SAT 审计管理用户快速审计跨公司权限锁定SATSOD角色用户互查权限用户互查特殊配置检查违规业务审计财务凭证审计连峰A M S for S A P 权限管理解决方案方案介绍2方案介绍2网关账号网关账号池化的网关账号会话管理日志记录网关拦截合法验证实现原理网关账号池化连峰AMS-V 使用SAP 标准访问协议，采用分时复用方式虚拟化SAP 账号，在线实时管理用户操作。
SAP权限设置介绍
ERP权限控制在这一节，介绍一下ERP 的权限设计，了解权限设计的逻辑。
一个特别是适合大集团业务的ERP 系统,应该提供一个非常完善的权限控制机制,甚至允许将权限控制字段细到字段级别，举例：Select 用户名From 用户表where 用户名='butcher' （得到用户名）select 权限组ID From 权限表where 用户名='butcher' （得到用户对应的权限组ID ）select * From 权限控制列表where 权限组ID = ‘***** '（得到没个权限组ID 对应的明细权限列表也就是用户的明细权限）在此我们可看到诸如用户名表，角色表，权限组表和对应业务操作的权限详细控制列表诸如此类的表格。
现在来看看ERP的权限设计思路，首先了解下几个Tcode和权限相关表格。
常用权限相关Tcode .（一）Role（角色）相关T-code:PFCG 创建ROLE_CMP 角色比较SUPC 批量建立角色profile（二）建立用户SU01 建立用户SU01D 显示用户SU2|SU3| SU50|SU51|SU52 改变/显示用户个人参数SU10|SU12 批量维护用户SUCOMP 维护用户公司地址SUIM 用户信息系统（强调一下）（三）建立用户组SUGR| SUGRD_NA V 维护用户组SUGRD| SUGR_NAV 显示用户组（四）维护检查授权SU20|SU21 自定义授权字段和授权对象SU53 当出现权限问题可使用它检测未授权对象.SU56: 分析authoraztion data buffers.常用权限相关表格:TOBJ : All avaiable authorization objects.（ERP 系统默认的所有授权对象）USR12: 用户级authorization 值USR02:User Logon Data（包括用户名称密码，是否锁住等字段）USR03:User address dataUSR05:User Master Parameter ID（Tcode SU3可查看用户参数文件的参数ID默认值）USR41:当前用户（即Tcode SM04看到的所有当前活动用户，包括各种对话系统通信类用户）USRBF2 :记录当前用户所有的授权objectsUST04:User Profile master（用户主数据中对应的权限参数文件名）UST10S : Single profiles （授权文件，权限参数和授权对象对应表 ） UST12 : Authorizations （具体授权细节）重点提示：USR02/USRBF2/UST10S/UST1四个表包含的信息就是 ERP 权限控制的关键，前者是用户主数 据表，后三者和用户授权紧密相关。
企业SAP ERP系统用户权限管理解决方案
般在 Ｅ Ｒ Ｐ 初上线时 ， 企业 比较注重系统的流程设计、 系
统 的稳 定 运 行 ， 而 对 权 限 设 计 不 够 重 视 。 只 是按 模 块 设 计 一 些 常用 的通 用 角 色 和 本 地 角 色 ， 以后 用 户 权 限增 加 一般 都 是
巾图分类号 ： Ｔ Ｐ ３ １ １ ． ５ ２ 文献标识码 ： Ａ 文章编号 ： １ ６ ７ ３ — １ １ ３ １ （ ２ ０ １ ５ ） ０ １ — ０ １ ｌ １ － Ｏ ３
０ 引 言
一
差异 可能很小 ，这会导致数据的冗余变得很大 。一般 的做法
是在 系统建立一套通用角色 、 复合角色、 单一角色所构成 的角 色体 系来 进行授权 。也就是说 ，一个系统角色可分配给 多个 系统用户 ，这样就会 出现某用户 的需球而 改动某一角色 的权
摘要 ： 企 业在使 用 Ｓ Ａ ＰＥ Ｒ Ｐ系统进 行用户权 限管理过程 中， 经常会发现分 配给 用户的权 限过 大或 职责不分 离， 部 门领 导
审批 用户权限形式化 ， 每次 内控审计都会发现一 大堆权 限配置错误 ， 文章通过探讨 这些问题 ， 提 出研 究解决的方案 。 关键 词： Ｓ ＡＰ ； Ｅ Ｒ Ｐ ； 用户权限 ； 解决方案
通过用 户 申请， 中间只是 由部门负责人象征性的审批 ， 然后 加
权 限， 角色 的建 立显得随意性 比较大 ， 导致用 户权 限存在交叉
风 险 ， 同 ＿ 角 色 或 同一 用 户 权 限存 在 不 相 容 事物 码 问 题 。 用
对应的所有用户都会 同时增大或减少权 限； （ ３ ） 职责分离体系不能被有效建立和执行。 用户权限不仅 决定谁有权做什么 ， 而且还体现了权限之间的相互制约关系 。 例如 ： 有“ 价格主数据管理” 权限的用户就不能同时拥有“ 发票 输入” 权 限， 否则用户就 可以随意修改发票上的价格信息 。如 果 同时给 了这两个权 限与同一个 用户 就违 背了 职责分离” 原
SAP权限管理制度
SAP权限管理制度篇一：SAP系统维护管理办法城建亚泰租赁SAP系统维护管理办法修订记录1.0目的根据SAP系统的特殊要求，规范系统维护的各个事项，标准化维护执行流程，特制定本规约。
2.0范围本规定适用于城建亚泰租赁及下属公司。
具体包括账户权限配置、系统配置调整、利润中心成本中心配置、程序变更、公司代码配置等。
3.0原则城建亚泰租赁对SAP系统的维护遵从“标准化操作、全过程跟踪”的原则。
4.0职责4.1需求部门4.1.1根据实际业务需要通过“IT需求申请流程”递交系统调整的相关需求申请，需求描述力求全面、准确。
4.1.2信息技术部SAP应用组完成系统调整后，需求提出部门需要进行确认和验收。
4.2战略管理部负责系统调整需求合理性的审核确认。
4.3信息技术部4.3.1信息技术部系统维护中心SAP应用组负责SAP系统日常维护、新需求开发和系统持续优化。
4.3.2受理各业务部门和职能部门关于SAP相关的需求。
4.3.3受理SAP系统账户和权限的申请。
4.3.4负责根据业务需要和系统运行情况对SAP系统的配置进行调整。
4.3.5负责对新成立的子公司进行SAP系统实施。
4.3.6根据业务需求和系统运行情况调整系统程序。
4.3.7配合和协助财务部进行月结和年结。
4.3.8根据业务和管理需求调整BW的配置。
4.3.9负责对系统各种异常情况进行处理。
4.4财务部4.24.4.1财务部配备专职SAP业务管理人员，负责财务部内部有关事项的维护，也负责事业部各项需求的对接。
4.4.2定期维护员工供应商主数据，包括新员工编码。
4.4.3根据公司组织架构的调整情况及时配置SAP系统中的利润中心和成本中心。
4.4.4负责特殊情况下财务凭证的调整，包括制作手工财务凭证。
4.4.5负责东泓ERP等其他非SAP系统的财务凭证校验和导入。
4.4.6负责SAP系统年结和月结的操作，包括管理会计期间、利息计提、收入费用分摊等。
4.4.7根据财务业务需要向集团申请新增会计科目。
基于SAP的企业信息系统权限管理方案
基于SAP的企业信息系统权限管理方案摘要：首先对SAP系统的模块分类和管理现状进行了描述，对SAP 的权限实现原理、管理制度、建立机制等内容进行了详细阐述，通过分析SAP项目推进的过程中在权限管理方面遇到的一些问题，确立了适合SAP项目推进的权限管理策略和流程，以及权限管理的详细解决方案。
关键词：权限技术；管理制度；解决方案0 引言SAP是以财务为核心，资产管理为主线的集成的管理系统。
以流程管理的理念，打破了传统以职能管理为核心的管理模式,为企业的核心业务管理提供了一个一体化、企业级的信息管理平台。
任何多用户的系统不可避免地涉及到权限问题，SAP系统也不例外。
由于系统的使用者增多、使用者的分工更复杂、加上人员岗位调动、退离休等情况，难免会造成系统权限分配混乱的问题，对系统的正常运行和业务流程的正常流转存在着很大隐患，所以对SAP系统的权限控制就显得尤为重要了。
1 SAP权限管理的基本元素SAP R/3系统权限体系引用了账号、角色、参数文件、授权对象、字段等权限概念，结合系统中企业组织架构及业务处理的配置等对用户进行权限控制。
同时SAP R/3系统采用了多数据库集成技术，并通过设计大量的数据表记录各事务处理的权限检查情况及系统用户的授权情况。
用户：具体操作SAP系统的用户，即登陆SAP Logon输入的用户。
使用事物码SU01创建一个新的用户ID，默认的权限是空白的，不允许任何操作。
单一角色：简单的说就是一个事物码的集合。
其中包含了控制事物码操作的“权限对象”、“权限字段”以及允许的操作及允许的值。
用事物码PFCG维护。
单一角色是相对应复合角色而言的。
复合角色：又叫通用角色，即是多个单一角色的集合。
复合角色中可以包含多个单一角色，此复合角色包含了这多个单一角色所控制的权限。
复合角色还可以维护具体的“权限对象”、“权限字段”以及允许的字段值及字段操作。
2 SAP权限机制建立过程在ERP 项目实施过程中，当系统的业务流程已经梳理完成，并对每部分的流程实施人员分工进行了调研后，就可以进行权限配置了。
企业SAP ERP系统用户权限管理解决方案
企业SAP ERP系统用户权限管理解决方案
苏戎
【期刊名称】《信息通信》
【年(卷),期】2015(000)001
【摘要】企业在使用SAP ERP系统进行用户权限管理过程中，经常会发现分配给用户的权限过大或职责不分离，部门领导审批用户权限形式化，每次内控审计都会发现一大堆权限配置错误，文章通过探讨这些问题，提出研究解决的方案。
【总页数】3页(P111-112,113)
【作者】苏戎
【作者单位】广东石油分公司信息管理处，广东广州510620
【正文语种】中文
【中图分类】TP311.52
【相关文献】
1.SAP ERP系统性能监控解决方案 [J], 刘涛;刘宁波;项松;
2.SAP ERP系统性能监控解决方案 [J], 刘涛;刘宁波;项松
3.某大型综合能源企业基于SAP ERP系统的凭证协同管理设计与应用研究 [J], 郭伟
4.SAP ERP系统在零件加工制造企业的应用 [J], 刘文英
5.联想与SAP携手，为中国SAP HANA用户提供企业云解决方案 [J],
因版权原因，仅展示原文概要，查看原文内容请购买。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 在一个共享组中，挑选出一个用户ID负责人 • 当一个用户ID共享组中某个用户离开系统时，用户ID的负责
人必须立即申请重新设定密码 • 权限管理员应该对于生产系统中的用户进行定期的检查，对
部门职责 ➢ 业务部门：
负责指定本部门的权限规范者，权限审批者； 负责填写，规范和审核《SAP权限申请表》 对权限申请后形成的业务结果负责 ➢IT系统部门： 负责制定R/3系统系列管理规范 负责对新增用户的审批，从而管理控制系统中的用户数量 负责提供对业务部门权限规范者的咨询、支持和培训 负责对业务部门权限规范者提供的规范结果进行技术审查，并完成R/3系统内的权限 配置工作 负责对系统中用户及用户权限定期进行审核 对R/3系统的数据安全、系统安全负责
SAPERP权限管理[1]
用户权限管理—职责与流程
➢权限审批 权限审批者接到权限规范者递交的《SAP用户权限申请表》，从全局考虑，把握业务需求的 正确性，对本部门的业务需求及权限规范结果进行签字认可 如果需要申请非本部门的操作或查询权限，权限规范者需将经本部门权限规范者审批通过的 《SAP用户权限申请表》，送交数据所属部门的权限规范者，由数据所属部门的权限审批者 进行审批 如果为新增用户，要由IT部门负责人进行审批
SAPERP权限管理[1]
用户权限管理—职责与流程
用户管理维护流程
➢权限确认及反馈： 权限规范者在接到权限配置完成的信息后，应及时通知相关用户，并督促用户在3个工作日 之内测试申请的权限，如有问题，由权限规范者统一反馈给权限接口人。 如在3个工作日之内无问题反馈，权限管理员则视此权限设置正确，如以后再发现此问题 将需要重新递交权限申请。
SAPERP权限管理[1]
用户权限管理—职责与流程
R/3系统权限申请流程 ➢需求提出：
业务部门根据实际业务需要，需要增加、修改或者减少R/3系统用户的权限时， 即可提出R/3系统权限申请 ➢填写申请： 申请者根据实际业务需求，在权限需求栏详细填写《SAP用户权限申请表》， 向本部门的权限规范者提出申请 ➢权限规范：
权限的概念---用户
用户 IDs基于业务要求而被分配给各适合的角色 用户可以运行他们所属角色中的各种事务代码
例如:
张三 角色: 会计
仓库保管员员
TCODE1 TCODE2 TCODE3
TCODE4 TCODE5
李四 角色: 会计
经理
TCODE1 TCODE2 TCODE3
TCODE10 TCODE11 TCODE12 TCODE13 TCODE14 TCODE15
用户ID共享 创建用户ID 用户密码重设 用户ID的锁定及解锁
SAPERP权限管理[1]
用户权限管理
第1-2位 常数 JT
数字
用户ID命名规则 第3-10位
保留
SAPERP权限管理[1]
用户权限管理—用户主数据
• 用户主数据用于存储用户地址信息、登陆数据以及权限数据。 最终用户应该用事务代码su01在系统中维护相关的信息： 如地址、通讯方式等关键信息将用于用户的分类、识别以及便于实现如查
它允许或禁止用户在系统中进行操作 和处理事务
SAPERP权限管理[1]
权限的概念
SAP 授权概念
在缺省状态下，所有用户最初是没有执行 任何事务的权限的
通过各种授权赋予执行事务的权限 一个用户可以执行的事务数量反映出其授
权的大小
SAPERP权限管理[1]
权限的概念
SAPERP权限管理[1]
权限的概念
权限规范者接到本部门用户的《SAP用户权限申请表》，与申请者及相关人员 进行必要沟通专业术语，准确描述本部门的权限需求，在《SAP用 户权限申请表》中“权限规范者填写部分”填写，完成权限规范，并送交本部门 的权限审批者进行审批
SAPERP权限管理[1]
用户权限管理---基本角色描述
• 权限管理员
• 授权管理
• 权限参数文件及角色的增加和修改 • 对已分配给用户的权限与所批准的权限是否一致进行周期性审
查 • 向用户主数据分配SAP角色
• 用户账户管理
• 受理用户ID申请 • 增加和修改用户主数据 • 终止用户ID
SAPERP权限管理[1]
SAPERP权限管理[1]
权限的概念----授权对象
SAPERP权限管理[1]
权限的概念----授权对象
例如: 事务 MIRO – 发票凭证
用户必须具有下列对象才能够运行事务代码….
这些对象是进入并运行事务代码必需 的钥匙
SAPERP权限管理[1]
权限的概念----对象参数
对象参数
SAPERP权限管理[1]
➢文档维护： IT部门权限管理员完成权限设置以后，应该同时维护相关权限文档。
用户审核流程 各部门权限规范者应在一年中对于本部门的系统用户进行两次的审核，审核内容包括： 每个用户的权限是否有所变化，是否有已经离职或停用的用。 各个部门的权限规范者将本部门变动的情况提交给IT部门，由IT部门进行系统内的变动 调整。
用户权限管理—用户ID管理注意事项
• 终止用户ID有时十分敏感， 因此在实施前，应先实施相应安全措施，以避免 系统遇到潜在威胁。
• 终止用户ID的流程需要多个用户组的协调工作 • 用于用户主数据模板的用户ID将被保存，以用于简化将来的用户管理流程。 • 用户SM37负责检查用户ID是否有进行后台工作 • 用户ID终止的3种情况
SAPERP权限管理[1]
用户权限管理—职责与流程
权限规范者应具备三方面的基本条件： ➢熟悉本部门业务相关的流程、术语 ➢熟悉权限规范的工作流程 ➢认真负责，能够坚持原则 权限规范者的基本职责： ➢负责并管理本部门的操作用户和查询用户 ➢能够及时调整新到岗人员系统用户权限的增减及离岗人员用户的删除 ➢严格控制本部门R3用户查询及操作系统中数据的范围，从而保证系统的安全性 ➢按照系统用户管理规范的要求，定期对本部门的用户个数和各用户的权限进行审核
找、修改、报告等功能的用户管理。 • 系统管理员应该统一用户界面，以便最终用户使用
• 登录语言: ZH • 日期格式: YYYY/MM/DD • 十进制符号: 1234567.89 • 输出设备: 根据实施地点预先设定 • 开始菜单: 遵从角色菜单，同时多余菜单应删除 • 参数: 根据每个功能的要求预先设定主要组织参数，以便于业务
流程运行
• 对于临时用户，系统管理员应根据用户类型设定用户主数据有效期
SAPERP权限管理[1]
用户权限管理—用户主数据
用户组-最终用户在登陆时，选择自己所在的用户组，也方便系统管 理员的管理。
用户组也可以用作查找标准，以便于用户管理。例如：查找财物功能 组，使用“财务”组；查找已锁定的用户ID， 使用“临时雇员”组 。
进入一个 SAP 事务代码 就好象….
从一扇 门 进入一个房
间
Transaction
授权对象
授权对象 就是开门的 钥匙
SAPERP权限管理[1]
权限的概念----授权对象
运行事务代码需要先具
备所有的授权对象! (即整套钥匙)
授权对象1
授权对象3
授权对象2
授权对象5
授权对象4
即使只缺少一个对象
，用户都不能够运行 事务代码
SAPERP权限管理[1]
用户权限管理—职责与流程
开始
业务人员 权限申请
权限规范者 接受申请
内部顾问
规范者规范
权限申请报告 审 批 通 过
递交业务人员
所属部门
IT负责人 对申请 进行审批
权限管理员在系统中 配置权限
业务人员： 权限申请者
反馈给权限 规范者
审批未通过
审批者 审批
不批准增加用户
SAPERP权限管理[1]
权限设置
权限设置
SAPERP权限管理[1]
内容
1 权限概念 2 权限设置 3 权限特殊功能技巧介绍 4 用户权限管理
SAPERP权限管理[1]
权限特殊功能技巧介绍
SU01－用户维护 SU02－参数文件 SU24－维护事务权限对象的分配 SU3－维护用户参数文件 SUPC－参数文件的批量生成 SU53－显示用户的权限数据 ST01－系统轨迹跟踪 PFCG－职责维护
➢递交申请 权限规范者将经过审批后的《SAP用户权限申请表》，统一递交IT部门权限管理员。 权限管理员只受理业务部门指定权限规范者递交的、并经权限审批者批准的《SAP用户 权限申请表》的文件
➢权限配置 IT部门权限管理员接到《SAP用户权限申请表》，并确认无误后，在三个工作日内完成 权限设置，并通知权限规范者检查使用
SAPERP权限管理
2020/10/31
SAPERP权限管理[1]
内容
1 权限概念 2 权限设置 3 权限特殊功能技巧介绍 4 用户权限管理
SAPERP权限管理[1]
目标
• 掌握R3系统权限的概念 • 掌握系统中权限的设置 • 掌握和权限相关的事务代码 • 了解用户权限的管理 • 掌握用户申请权限的流程和处理方式
SAPERP权限管理[1]
权限的概念
SAPERP权限管理[1]
权限的概念---角色
事务基于“角色”进行分组
角色是指在业务中事先定义的执行特殊职能的工作
例如，在下面的事务中有两个角色 ：
总账会计角色
事务:
MMRV
MMPV
ZOB52
物料管理员角色
事务:
MM01
MM02
MM03
MM60
SAPERP权限管理[1]
用户权限管理---基本角色描述
• 系统维护人员
配置人员 在开发系统中，进行配置调整工作； 在测试系统中，进行测试工作； 在生产系统中，进行查看数据工作；