SAP自定义权限对象创建步骤
SAP权限设定讲稿
复合角色设置
日期Date: 第 Page 30页 >
复合角色设置
日期Date: 第 Page 31页 >
复合角色设置
日期Date: 第 Page 32页 >
角色修改
日期Date: 第 Page 33页 >
几点需要注意的地方
• 权限设定非常重要﹐次更改都要记录。
Version 1.0
日期Date: 第 Page 12页 >
权ASPu限tEhXo的rSizAa概tPioRn念/C3oPn－rcoejp授etct 权对象
Version 1.0
授权对象 = 运行事务的权限
没有
没有
授权
=
事务
对象
权限
日期Date: 第 Page 13页 >
权ASPu限tEhXo的rSizAa概tPioRn念/C3oPn－rcoejp授etct 权对象
FEBP
F-04
物料管理经理角色
事务:
XK05
XK04
MB53
MB24
日期Date: 第 Page 6页 >
权限的概念
日期Date: 第 Page 7页 >
ASPutEhXor权SizAat限PioRn的/C3oPn概rcoejpe念tct —授权
Version 1.0
授权就是给个人（或组）一个方式或权力 来行使一些特殊的职责
用 SAP 的语言来说….
它允许或禁止用户在系统中进行操作和处 理事务
日期Date: 第 Page 8页 >
权限的概念 SPEX SAP R/3 Project Authorization Concept
SAP 授权概念
SAP系统权限设置和修改操作流程_v1.0
济南分公司SAP系统权限设置
和修改操作流程
1．概述
1.1目的
规范SAP用户权限设置和修改的操作流程，加强SAP用户权限的管理，保证SAP系统的安全、稳定运行。
1.2读者
SAP系统的最终用户和SAP系统的用户、权限管理员。
2.用户权限设置和修改操作流程
2.1用户权限的设置
权限管理员根据“中国石化济南分公司ERP最终用户申请表”相关栏目的内容，对用户管理员所创建的用户ID赋予相应的权限。
2.2用户权限的修改
ERP最终用户由于岗位或者业务范围的调整，需要对其权限进行修改（增加或者减少权限）时，必须填写“中国石化济南分公司ERP最终用户权限修改申请表”（请参见附表三），经所在单位的主要领导审核批准后，交信息中心。
经信息中心领导审核后，权限管理员在SAP系统中，手工对相应用户ID进行权限的修改，并通知用户本人。
附表三
中国石化济南分公司
2、“功能模块”指用户使用SAP中的功能模块，其中有：FI/CO—
财务/成本管理，PP—生产计划， SD—销售/分销，MRO—物料采
购管理，MM—物料管理，PM—设备维护，HR—人力资源。
单位（部门）负责人（签章）：
年月日
信息中心审核：
年月日
2。
SAP用户权限管理配置及操作手册
SAP用户权限管理配置及操作手册SAP用户权限管理配置及操作手册SAP用户权限管理配置及操作手册Overview业务说明OverviewSAP的每个用户能够拥有的角色是有数量限制的，大概是300多点，具体不记得了。
如果只在S_TCODE和菜单中设置了某个事务代码，而没有设置权限对象，此时将不能真正拥有执行该事务代码的权限。
SAP的权限检查机制：SAP进入一个t-code，要检查两个东西1）S_TCODE2) 表TSTCA 里面和这个T-cdoe相对应的object。
有些tcode在tstca里面没有对应的object，就会导致直接往S_TCODE中加事务代码不能使用的情况。
SAP权限架构概念权限对象Authorization objectSAP在事务码（T-code）的基础上通过权限对象对权限进行进一步的细分，例如用户有创建供应商的权限，但是创建供应商的事务码中有单独的权限对象，那么就可以通过权限对象设置不同的用户可以操作不同的供应商数据。
角色-Role同类的USER使用SAP的目的和常用的功能都是类似的﹐例如业务一定需要用到开S/O的权限。
当我们把某类USER需要的权限都归到一个集合中﹐这个集合就是“职能”(Role)。
所谓的“角色”或者“职能”﹐是sap4.0才开始有的概念﹐其实就是对user的需求进行归类﹐使权限的设定更方便。
(面向对象的权限!!)分为single role 和composite role两种﹐后者其实是前者的集合。
角色模板-Template RoleRole的模板﹐一般是single role.但这个模板具有一个强大的功能﹐能通过更改模板而更改所有应用(sap称为Derive“继承”）此模板的Role(sap称之为adjust)参数文件-Profile参数文件相当于指定对应的权限数据及权限组的定义。
每个角色下会产生一个附属的参数文件。
真正记录权限的设定的文件﹐从sap4.0开始是与Role绑定在一起的。
14.3.1 权限对象的创建及生成_SAP从入门到精通_[共3页]
![14.3.1 权限对象的创建及生成_SAP从入门到精通_[共3页]](https://img.taocdn.com/s3/m/8ae8ddda6c85ec3a86c2c5b4.png)
388
SAP从入门到精通
图14-3 权限维护界面
输入权限“名称”后，单击“Create Role ”按钮，即可进入权限维护细节界面，具体细节可以查看第4章权限创建部分的内容。
下面主要看一下权限创建后的结构部分，如图14-4所示。
从图中可以清楚地看到一个权限的体系结构。
我们创建的是一个采购权限，这个权限下包含了3个事务代码（ME21N 、ME22N 、ME23N ）。
权限事务一开始，会去检查权限字段为“TCD ”中所包含的事务代码是哪些，然后再去检查对应的权限对象，例如M_BEST_BSA 、M_BEST_EKG 、M_BEST_EKO 、M_BEST_WRK ，这些都是这个权限所包含的权限对象。
另外还可以看到，在每个权限对象的下面，还包含有一个权限字段叫“ACTVT ”，也叫“作业”。
可以看到，每个作业的后面都有01、02、03
等数字选项，单击“
”按钮，可以看一看这些字段指的是什么内容，如图14-5
所示。
图14-4 权限结构 图14-5 “作业”内容选项 从图中可以看到，01代表创建、02代表更改、03代表显示，每个数字都代表了具体的操作。
所以从这个例子就完全可以对应到之前所讲到的权限管理结构上。
14.3 事务代码、权限对象的创建及生成
SAP 系统中权限的创建在前面已经介绍过，本节介绍事务代码、权限对象的创建及生成。
14.3.1 权限对象的创建及生成
SAP 系统中有很多系统自带的权限对象，用户也可以自己创建权限对象。
本小节介绍权限对象的创建及生成，具体的操作步骤如下。
SAP权限对象运作及机制
這次因為設定權限，所以有機會接觸權限物件(Authority Object)，利用這個機會從程式面整理一下希望此文件對大家有所幫助，能更了解權限物件內部運作及機制，謝謝。
主要介紹整個應用流程如下(由於某些t-code需要Basis權限，所以在IDES上測試)：------------------------------------------------------------※●●自己畫的架構圖：●●●首先建立一個Domain●●●定義資料型態為Char1●●●在Value Range裡列舉A、B、C三類(會反映到我們設定object Value時，提供選單)●●●接著設定Data Element●●●為Data Element設定Domain●●●再來輸入交易代碼SU20設定權限欄位●●●新增權限欄位●●●其中Search Help會依據Data Element變化，若無也可自行設定●●●輸入權限欄位名稱及Data Element，可看出Search Help已自動帶出(因為Domain有設定)●●●輸入SU21，設定權限物件●●●如下圖，建立物件類別及權限物件●●●輸入物件類別名稱●●●設定權限物件，指定權限欄位●●●輸入SU24，設定交易代碼t-code及權限物件關係※●●(此設定會影響那些權限物件及物件值自動帶入PFCG，若沒有設定此步驟，則必須在PFCG手動加入)●●●輸入T-code●●●如下圖，可設定T-code及Authority Object、Value關係※●●這就可以解釋為何某些T-code和值會自動帶入到PFCG●●●設定PFCG-交易代碼●●●如下圖，可以看到ZTESTAUTH、欄位ZTESTFD及建議值B皆自動帶出(當然也可不設定SU24而手動加入權限物件)●●●此欄位帶出Domain的列舉值●●●指派user※●●程式撰寫，藉由AUTHORITY-CHECK OBJECT檢查權限物件欄位的值是否符合PFCG設定的值●●●登入測試user●●●執行測試程式●●●權限檢查成功●●●在設定時空值影響測試，下圖將值清空●●●權限檢查失敗●●●此時若將值改為space●●●權限檢查成功※●●這此可知某些空值是否會造成權限問題，還是要視程式寫法而定。
sap权限设定完整版
sap权限设定完整版s a p权限设定完整版集团标准化工作小组[Q8QX9QT-X8QQB8Q8-NQ8QJ8-M8QMN]权限设定操作手册权限维护1.注意1.1.用户、角色、事务代码、授权对象的关系用户：由几个角色组成角色：由一系列事务代码搭建事务代码：需要系统规定的必要授权对象才能运行授权对象：由它的参数来定义1.2.权限设定须谨慎权限设定非常重要，并且权限的排错查询非常繁琐、耗时，因此在做权限设定时一定要谨慎，每次更改都要记录。
1.3.测试环境下修改除非特殊情况，权限设定不允许在正式环境直接更改。
一般都是在测试环境修改、测试成功后，再传到正式环境。
1.4.拒绝不合理权限要求Basis不是决定用户权限范围的人，而是实际管理中大大小小业务流的管理者。
所以，变更权限设定，务必要求用户提供经过领导签核的申请表。
对于用户不合理的权限要求，顾问有责任拒绝。
2.角色维护2.1.作业说明基本由权限的大架构有User ID（用户），Role（角色），Profile（权限参数文件）三层，可知权限的设定也会有相应的三层。
目的SAP中的权限管理可以通过建立若干角色的方式进行，角色的定义为SAP中单个或者多个事务代码（T-Code）组成的一个角色定位。
角色是指在业务中事先定义的执行特殊职能的工作。
可以为单个的用户的需求去创建角色，也可以通过事务代码创建角色，然后分配给各个需要这些角色的用户。
创建角色主要有三种方式：手工创建。
适合所有新建角色的需求，主要对应权限追加；继承。
主要对应设定派生角色；复制。
主要对应设定基本的角色。
继承与复制创建角色的区别：用继承的方式建立新角色，继承后，只需要填写，Object就全部标识为绿灯。
用复制的方式建立新角色，需要在Object里填入值，Object才能全部标识为绿灯。
以上是两者操作上最大的区别。
2.2.创建单一角色事务代码与菜单路径PFCG –工具 -> 管理 -> 用户维护 -> 角色管理 -> 角色菜单此为事务代码输入栏后续作业工具列图示/其它说明备注输入事务代码可于命令栏输入[ 事务代码 ]并按ENTER键，执行程序鼠标双击(或)将鼠标光标停在欲执行对象，并双击鼠标左键。
SAP权限对象的创建与使用
CALL SCREEN 2000. “User is not authorized to create (Display only)
ENDIF.
12. Then assign this 2nd role to another user.
Figure 2
Now let’s implement this authorization in our ABAP program. Let say we have a dialog program(ZCOMM) wherein we have a button on the screen that when clicked, the user will go to the Create/Edit screen(1000) if he’s authorized. On the other hand, he will go to display only screen(2000) if he’s not authorized. To do that, simply add the code below on your program.
8. And also don’t forget to add the S_TCODE authorization object and enter ZCOMM on it’s field.
9. Now Click on the Generate button in the application toolbar and press enter on the pop-up screen.
3. Enter “ZTCODE” in the Field Name and “TCODE” in the Data Element, then hit Enter.
《SAP权限的设定》课件
定期审查权限设置，确保与组织政策和业务需求保持一致。
权限审计与监控
1 2
日志记录与分析
记录用户对系统的所有操作，以便进行审计和分 析。
异常检测
通过监控系统活动，及时发现异常操作或潜在的 安全威胁。
3
定期审计
对系统权限进行定期审计，确保权限设置符合组 织政策和最佳实践。
04 SAP权限的安全控制
案例二：用户管理与授权
总结词
用户是SAP系统中的具体操作人员，需要对用户进行 合理的授权管理，以确保系统的安全性。
详细描述
在SAP系统中，用户是具有登录和操作SAP系统的能 力的个体。管理员需要根据用户的职责和需求为其分 配相应的角色或权限。授权过程需要遵循最小权限原 则，即只授予用户完成工作所需的最低权限。在案例 二中，我们将介绍如何管理用户账户，包括创建用户 、分配角色或权限、设置登录参数等，以确保用户能 够安全、有效地使用SAP系统。
访问控制策略
用户身份验证
通过用户名和密码进行身份验证，确保只有授权用户能够访问SAP 系统。
角色管理
为不同用户分配不同的角色，每个角色具有不同的权限级别，限制 用户对特定功能和数据的访问。
权限审查
定期进行权限审查，确保用户只拥有完成工作所需的必要权限，避免 权限过度分配。
数据安全保护
数据加密
01
好地满足企业的实际需求。
02 SAP权限的设定流程
角色管理
01
02
03
角色定义
定义角色名称、描述，为 角色分配相应的职责和功 能。
角色授权
根据角色职责，为其分配 相应的权限，控制角色可 访问的模块和功能。
角色分配
将角色分配给相应的组织 单元或用户，实现权限的 集中管理和分配。
SAP操作手册_运维过程中的权限处理操作
SAP信息化项目权限处理操作手册文档修改记录1.创建与分配权限操作1.1 维护用户(SU01)1.1.1 增加用户1）进入事务码SU01，先填入自定义的用户编码，再点击创建按钮进入下一屏。
2）在下图中填入用户名称和密码，后点击保存。
3）保存后提示。
在用户创建这里，必填项只有用户编码、用户名称、密码。
1.1.2 修改用户1）修改用户和创建用户都是事务码SU01，可在此界面给用户赋予角色。
先输入要修改的用户，然后点击修改按钮进入下一屏，如下图：2）点到“角色”页签，在角色栏选择具体的角色。
3）选好角色后，点击借上方的保存按钮，提示。
注：每个用户都要赋予下图所示的“基础全局角色”。
1.2 维护角色(PFCG)1.2.1 增加角色1）进入事务码PFCG，先填入自定义角色编码，再点击“单一角色”按钮。
2）点击“单一角色”按钮后进入下一屏，填写好“描述”点击上方的保存按钮。
1.2.2 给角色分配事务码1）角色简历完成后，给它赋事务码权限。
操作如下图：2）分配后的效果如下图：1.2.3 设置“权限”参数文件1）点击到“权限”页签，2）点击：“参数文件名称”栏目右边的按钮后，再点击“更改权限数据按钮”进入下一屏。
在下图中点击“组织级别”，在弹出的“定义组织级别”对话框中输入“公司代码”、“控制范围”等信息后，点击对话框上的保存按钮。
上图只是把操作过程表述出来了，下面将“定义组织级别”对话框详细的配置截图如下：1.2.4 手动配置权限在配置好组织级别后，有时还需要手动调整部分权限，通过界面上方的按钮来完成。
1）手动调整跨公司销售业务范围1020和2020的发票权限，只能看但是不能操作。
而本公司的1100销售组织具有全部的权限。
2）插入自开发报表的权限对象。
下面的四个对象是自开发的权限对象，需要手动插入权限中。
操作方法如下：查看插入效果：剩下的三个以此类推。
1.2.5 保存并生成“权限”参数文件1）将权限的黄色点绿。
SAP自定义权限及程序检查
1.创建 Data ElementTCODE SE801) 创建 Data ElementName: Z_EMP_ID00 Field Label 属性 Le ngth Sho rt Med ium Lon g Hea ding 19 EMPLOYEE ID HEADING 20 EMPLOYEE EMPLOYEE ID 15 EMPLOYEE ID 10 ID Field Label2) 为 Z_EMP_ID00 创建一个 DomainName Data Type No. Characters Decimal PlacesZ_EMP_ID00 NUMC 10 0Output Length102.创建 Authorization FieldsTCODE SU20 Field Name Data element ZEMPID00 Z_EMPID003.创建 Authorization Object多个 Authorization Fields 是被归在一个 Authorization Object 中的,创建好 Objec t 后需要把 Z_EMPID00 assign 给它. TCODE SU21图 SU21-1 (SU21 界面)1) 创建一个 Object class ZEMPObject Class TextZEMP Empleyee Object class.2) 在 ZEMP 里创建一个 Authorization Object ZEMPOBJ00Object TextZEMPOBJ00 Employee object 00.Field nameZEMPID00图 SU21-2 (创建 Authorization Object)图 SU21-3 (Object Class 和 Authorization Object 创建完毕)4.为用户添加 Profile这个 Profile 包含用户对 Object ZEMPOBJ00 的各个 Field 有权限访问的具体范围.1) 创建 ProfileTCODE SU01 在菜单 Enviroment > Mainten Profile(F9) Profile: ZEMPRF00 选择 Create.图 SU01-1 (创建 Profile) 在下半部分的表格中的 Object 列中添加 ZEMPOBJ00 Save, 激活 Authorization 列输入 ZAHUEMP,双击新建它 Text: Authorization for Employee. 点击 Maintenance Value, 在 From 列和 To 列分别输入* 分别激活 Authorization, Profile.图 SU01-2 (Profile 创建完毕)2) 将 ZAHUEMP assign 给用户 BCUSER.然后回到 SU01 对 BCUSER 的界面, 在 Profile 面板: 添加 ZEMPRF00 Save.5.创建 RoleTCODE PFCG Role ZEMPR 选择 Single Role1) Description: Maintenance Employee ID在 Authorizations 面板中: Profile Name Profile Text ZEMPRF00 Employee Profile2) 给这个 Role 添加用户在 User 面板中: User: BCUSER6.创建测试程序REPORT ZAUTHORITY01.DATA: Z(20) VALUE 'abc'. AUTHORITY-CHECK OBJECT 'ZEMPOBJ00' ID 'ZEMPID00' FIELD Z. WRITE:/ Z. IF SY-SUBRC = 0. WRITE:/ 'PASS'. ELSE. WRITE:/ 'Sorry.'. ENDIF.7.运行程序用户 BCUSER 必须先退出系统然后登录后前面设置的 role 才会生效.运行程序,结果 为 PASS.。
sap权限设定(完整版)
权限设定操作手册权限保护1.注意1.1.用户、角色、事务代码、受权对象的关系用户：由几个角色构成角色：由一系列事务代码搭建事务代码：需要系统规定的必需受权对象才能运转受权对象：由它的参数来定义1.2.权限设定须慎重权限设定特别重要，而且权限的排错查问特别繁琐、耗时，所以在做权限设准时必定要慎重，每次改正都要记录。
1.3.测试环境下改正除非特别状况，权限设定不同意在正式环境直接改正。
一般都是在测试环境改正、测试成功后，再传到正式环境。
1.4.拒绝不合理权限要求Basis 不是决定用户权限范围的人，而是实质管理中大大小小业务流的管理者。
所以，改正权限设定，务必需求用户供给经过领导签核的申请表。
关于用户不合理的权限要求，顾问有责任拒绝。
2.角色保护2.1.作业说明基本由权限的大架构有 User ID （用户），Role （角色）， Profile （权限参数文件）三层，可知权限的设定也会有相应的三层。
目的SAP中的权限管理能够经过成立若干角色的方式进行，角色的定义为 SAP中单个或很多个事务代码（ T-Code）构成的一个角色定位。
角色是指在业务中预先定义的履行特别职能的工作。
能够为单个的用户的需求去创立角色，也能够经过事务代码创立角色，而后分派给各个需要这些角色的用户。
创立角色主要有三种方式：手工创立。
合适所有新建角色的需求，主要对应权限追加；继承。
主要对应设定派生角色；复制。
主要对应设定基本的角色。
继承与复制创立角色的差别：用继承的方式成立新角色，继承后，只要要填写Org.level，Object就所有表记为绿灯。
用复制的方式成立新角色，需要在Object 里填入值， Object 才能所有表记为绿灯。
以上是二者操作上最大的差别。
2.2.创立单调角色事务代码与菜单路径PFCG–工具 ->管理->用户保护->角色管理->角色菜单此为事务代码输入栏后续作业工具列图示 / 其余说明备注输入事务代码可于命令栏输入 [ 事务代码 ] 并按 ENTER键，履行程序鼠标双击( 或 ) 将鼠标光标停在欲履行对象，并双击鼠标左键。
SAP权限定义流程
用户测试并向Basis反馈
1、最终用户使用《测试用户表》提供的用 户名密码登录系统并测试。 2、测试人员须根据每个用户名生成单独的 Word文档，使用T-code：su53显示并拷 贝屏幕，汇总后反馈给Basis。
su53只显示最近一次与权限出错相关数据， 因此每次出错都要立即做一个屏幕拷贝。
Basis根据反馈修改权限
表格的填写
1、《根角色-交易分配表》 业务组首先需要生成《根角色-交易分 配表》。Basis会根据这张表在SAP系统 中生成根角色。根角色只与交易代码相 关，与操作对象即数据无关。 《根角色-交易分配表》 由各模块各 分公司负责人填写，再由各模块总负责 人收集合并。
表格的填写
2 、 《角色扩展表》 业务部门填写根角色对于分公司的扩展 关系。Basis据此信息在根角色基础上扩展 出与分公司相关的角四张表格《公司组织级 别》、《根角色-交易分配表》、《角色 扩展表》、《角色-用户分配表》给Basis。 Basis根据四张表格设定根角色、角色 、 用户以及三者的对应关系，向业务组提 供《测试用户表》 二、用户测试并向Basis反馈 三、Basis根据反馈修改权限
1、Basis根据测试用户反馈的Word文档修 改角色权限后向该用户发出重新测试要 求。 2、测试反馈循环至完全正确为止。
表格的填写
3、《公司组织级别》 由各模块各分公司负责人填写各分公 司在SAP系统中的公司代码、采购组织 等组织级别信息。由模块总负责人收集、 汇总信息。 Basis根据《公司组织级别》对根角色 上扩展出的各分公司角色设定。
表格的填写
4、 《角色-用户分配表》 由各模块各分公司负责人填写各分 公司的用户与角色之间的关系。Basis根 据用户命名规则生成SAP最终用户名。 最终产生包含分公司、用户、初始密码 等信息的《测试用户表》。
快速搞定SAP权限设定
1.使用su01给用户添加权限
1.1打开SAP进入SAP初始化界面,在T-CODE输入栏中输入su01(如图1.1)
图1.1:
1.2.进入如图1.2的画面,在USER栏里输入你需添加的用户帐号,然后按新建图标.
图1.2
1.3出现如图1.3的画面,给所要添加的用户输入TITLE和LAST NAME等属性
2.1进入SAP初始化界面,输入T-COLD:pfcg(如图2.1)
图2.1:
2.2进入如图2.2界面,在ROLE栏中输入你想建立或维护的ROLE名,按新建按钮
图
2.3进入如图2.3界面,按保存按钮.
图2.3
2.4选择AUTHORIZATIONS页面,按CHANGE AUTHORIZATION DATA按钮(如图2.4)
图1.3
1.4选择LOGON DATA页面,在PASSWORD栏里输入初始化密码(如图1.4)
图1.4:
1.5选择ROLE页面,在ROLE栏里添加用户的权限(如图1.5)
图1.5:
1.6输入完毕后,按保存按钮,返回su01功能界面,输入其他的用户,并添加权限(如图1.6)
图1.6:
2.用pfcg来维护ROLE
图2.4
2.5进入如下界面,表中列出所有的分类权限,选择一个你想设定的权限(如图2.5)
图2.5
2.6进入分类设定权限的界面(如图2.6)
图2.6
2.7在表中选择你不想要的权限并把它们设成红色,设完后保存(如图2.7)
图2.7
2.8然后按激活按钮(红白圆形图标),跳出如图2.8窗口,按确定
图2.8
2.9然后返回(如图2.9)
图2.9
2.10选择USER页面,在USER ID栏中输入你想赋予权限的用户帐户名.(图2.10)
SAP 用户权限控制设置及开发
S A P?用户权限控制设置及开发(2012-09-03 16:03:31)转载▼标签：分类：ABAP权限用户的权限菜单是通过分配具体角色来实现的.1. 创建角色PFCG输入角色名并点击Single Role为角色分配权限菜单.为角色配置权限数据维护完菜单后, 仅实现在用户菜单中能看到相关的事务, 要具有此事务权限还待设置具体的权限数据.SAP程式在执行中会通过读取该参数文件的数据来进行用户权限的检查及管控.在SAP实际应用中, 用户所直接操作的是屏幕及屏幕所对应的字段, 而这些具体的字段都是由权限对象进行控制, 包括该字段所允许的操作及允许的值.* 表示为该字段分配完全权限.通过状态灯图标来表示各权限对象的维护状态, 绿灯代表激活, 黄色代表未激活, 红色代表未给权限字段分配值, 单击权限字段前的铅笔图标可以定义该字段的授权值.一些常用的权限字段:ACTVT: 该字段存放的就是允许操作的代码, 例如 01 代表创建,02 代表修改,03代表显示等;TCD: 存放该权限角色所包含的事务代码;该图说明允许该角色的用户能查看和更改物料的Status.权限对象维护完成后,点Generate 将该权限数据激活.将角色分配给用户:进行用户比较, 只有单击"完成比较"按钮,该用户所对应的权限角色才将正式生效.自定义权限对象:1. 权限字段的维护:SU20创建权限字段.2. 对象类及权限对象的维护SU21对象类是多个权限对象的集合, 而一个权限对象下又可分配多个权限字段, 新增的用户自定义权限对象, 需要单击工具栏中的"Regenerate SAP_ALL" 按钮才会把新增的权限对象赋值给SAP_ALL这个权限参数文件.3. 权限对象的分配.SU22把权限对象(Authorization Object)分配给事务代码.权限对象在 ABAP 程序中的调用.For Example 1.?对Parameters输入的检查:-------------------------------------------------------REPORT??z_af_034.TABLES:?marc.PARAMETERS:?s_werks?LIKE?marc-werks?DEFAULT?'1000'.AT?SELECTION-SCREEN.??AUTHORITY-CHECK?OBJECT?'ZS002'???????????ID?'ZWERKS'?FIELD?s_werks.??IF?sy-subrc?<>?0.????MESSAGE?'权限检查失败'?TYPE?'E'.??ENDIF.START-OF-SELECTION.--------------------------------------------------------For Example 2.对 select-options 数据的权限检查:--------------------------------------------------------REPORT??z_af_034.TABLES:?marc.DATA:?errstr?TYPE?string.SELECT-OPTIONS:?s_werks?FOR?marc-werks.START-OF-SELECTION.??LOOP?AT?s_werks.????IF?NOT?s_werks?IS?INITIAL.??????AUTHORITY-CHECK?OBJECT?'ZS002'????????????????ID?'ZWERKS'?FIELD?s_werks-low.??????CONCATENATE?'Plant?'?s_werks-low?'?No?Authorization'?INTO?errstr.??????MESSAGE?errstr?TYPE?'E'.??????EXIT.????ENDIF.????IF?NOT?s_werks?IS?INITIAL.??????AUTHORITY-CHECK?OBJECT?'ZS002'????????????????ID?'ZWERKS'?FIELD?s_werks-high.??????CONCATENATE?'Plant?'?s_werks-high?'?No?Authorization'?INTO?errstr.??????MESSAGE?errstr?TYPE?'E'.??????EXIT.????ENDIF.??ENDLOOP.--------------------------------------------------------------可通过 Function GET_AUTH_VALUES 获取权限对象的权限值.用户权限缺失的检查.SU531).检查操作用户是否被授权能操作所执行的事务.2).检查操作用户被授权的权限角色里面是否包含程序所调用的权限对象.3).检查操作用户的权限检查字段输入值是否包含在权限字段.在用户执行某个程式权限检查失败后, 输入 SU53 就能看到权限评估检查报表.如下图所示:查找权限角色:如何知道某个 Tcode 分配给了哪些 Role?SUIM。
SAP权限设定的方法
SAP权限设定的方法简介SAP（Systems, Applications, and Products in Data Processing）是一个用于企业资源规划（ERP）的软件系统。
在SAP系统中，权限设定是非常重要的一项任务，它可以控制用户对系统中不同事务和数据的访问权限。
本文将介绍SAP权限设定的方法，帮助读者了解如何正确设置用户权限，确保系统的安全性和合规性。
SAP用户权限的级别在SAP系统中，用户权限分为以下几个级别：1.事务级权限：控制用户对特定事务的访问权限，如创建销售订单、审核付款等。
2.模块级权限：控制用户对特定模块的访问权限，如销售模块、采购模块等。
3.数据级权限：控制用户对特定数据对象的访问权限，如销售订单数据、员工数据等。
4.组织级权限：控制用户对特定组织单元（如公司、部门、项目组）的访问权限。
SAP权限设定的步骤下面将介绍在SAP系统中进行权限设定的基本步骤：步骤一：确定用户角色首先，需要确定每个用户的角色，即其在组织中扮演的角色和职责。
根据用户角色的不同，其所需的权限也会有所区别。
步骤二：创建角色在SAP系统中，需要创建与用户角色相对应的角色。
角色可以通过事务码“PFCG”来创建。
在创建角色时，可以选择预定义的模板，也可以根据需要进行自定义。
步骤三：分配事务和模块权限在创建角色后，需要为角色分配事务和模块的权限。
可以通过事务码“SU01”来进行权限分配。
在分配权限时，可以选择将事务和模块权限直接分配给角色，也可以通过角色分配给用户。
步骤四：定义数据级权限除了事务和模块权限外，还可以定义数据级的权限。
通过事务码“PFCG”，可以在角色中定义哪些数据对象的访问权限是允许的，哪些是禁止的。
步骤五：设置组织级权限最后，还可以设置组织级的权限。
通过事务码“PPOCE”和“PPOC_OLD”，可以进行组织单元的设置和组织单元之间的关系设置。
SAP权限设定的最佳实践在进行SAP权限设定时，需要遵循以下最佳实践：1.权限分离原则：应该根据用户的职责和工作需求，将权限按照粒度进行划分，避免将过多权限授予单个用户。
SAP权限的设定教程
Role的建立
新创建Role主要有三种方式。T CODE ﹕PFCG 1.由始至终新建;
可以对应所有新建Role。主要对应例外权限 Z+USERID+EXCEPTION 2.继承; 主要对应设定Z+USERID+职能名称 3.复制（COPY）﹔ 主要对应设定Z+USERID+职能名称-1
– 命名特征是 “Y+” 开头 例如 “ Y + CO – CO ”
SAP权限管理
权限设定者分工
一.以Role类型分 1.Template Role
即“G”开头的: 台北本部的AP MIS er Role:
以Z开头的:东莞AP MIS 以W开头的:吴江AP MIS 3.Basis Role: 即以Y开头的:台北和东莞Basis MIS
OBJECT完全没有给值 OBJECT只有部分给值 OBJECT已经全部有值
请注意﹕绿灯只是表示 全部有值而已﹐但不一 定就是我们所需要的值
SAP权限管理
Role的建立—完全新建
这个Object是任何权限设定文件中都应该有的﹐这是给予启 动T code的权限﹐如果T code没有出现在这个列表 中﹐user连这个指令的画面都无法进入
这些是常用的功能
手动增加T code 从SAPMenu中增加T code 从其他Role中Copy Menu
SAP权限管理
Role的建立—完全新建
请大家按图所示建立目录 ﹐第一层是职能﹐这里是 EXCEPTION﹐下面分“标准”(Standark)和 “外挂” (Add On) 两个目录 。 让菜单保持清晰﹐可以令User的个人菜单清楚﹐不混乱。 我们MIS检查权限也比较方便。
SAP自定义权限对象
SAP⾃定义权限对象SAP系统⾃带了很多的权限对象，每⼀个运⾏画⾯都有⾮常多的权限⽤到。
不过标准的权限对象并不⼀定适合于⽤在客户⾃⼰开发的程序⾥⾯，所以每个ABAPer都应该会⾃⼰开发⼀套权限对象，并引⽤在程序代码⾥⾯。
⼀旦有账号需要赋予权限，直接⽤SAP系统标准的⾓⾊权限配置就可以了。
SAP权限对象⼀整套流程如下：SE11：创建Domain/数据类型SU20：创建权限字段（⾮必需，可⽤系统标准的，除⾮⾃定义）SU21：创建权限对象SE38：新建程序，引⽤权限对象SE91：创建事务代码SU24：事务代码分配权限对象SU01/PFCG：权限维护值⼀、SE11创建Domain和数据类型除⾮你是要做到在后续权限维护值的时候可以很直观让权限管理员知道应该怎么维护，否则Domain并⾮必须要的。
注意，上图这个地⽅Value Range其实可以不⽤维护的，不影响，但只是为了维护权限时的⼀个值的参考⽽已，让维护者知道怎么维护即可。
激活，Domain就创建结束了。
接下来还是SE11，创建数据类型将刚才创建的Domain引⽤上去，当然如果没有Domian，直接在下⾯的Data Type维护类型即可。
⾄此，第⼀步算是结束了。
⼆、创建权限字段新建的权限字段为ZPC_FIELD，数据元素就⽤上⼀步创建的ZPC，保存，新建请求。
三、创建权限对象在创建权限对象之前，先创建对象类，如果已经存在需要的对象类，则忽略。
保存。
接下来创建权限对象：填⼊前⾯创建的对象，此时点击创建对象⽂档，维护⼀下权限的⼀些描述：四、创建程序，并应⽤此权限：点击模式，输⼊权限对象：激活。
五、创建事务代码程序开发结束之后，就开始创建事务代码：六、对事务代码分配权限对象之后再点击保存即可。
七、维护权限值对事务代码ZTEST28授权之后修改权限数据：对当前账号赋予04：显⽰的权限（跟程序⾥要求创建的权限不⼀致，所以会提⽰没权限！）重新⽣成参数权限就⼤功告成了！经过以上⼏个步骤之后，运⾏事务代码ZTEST28，会提⽰：如果权限字段赋予：01 新建，则运⾏程序会提⽰：⾄此，权限全部完⼯。
SAP自定义权限对象创建步骤
创建自定义权限对象步骤1：事务代码SU21（Maintain Authorization Objects），单击创建。
选择“Object class”（如果已经有的Object Class能满足需要则不要此步，直接做步骤三）步骤2：填入Object class和Text名称，然后保存。
步骤3：单击创建，选择“Authorization Object”。
步骤4：填入Object，Text，class名称，在Authorization fields的fields name中加入需要控制的字段名，然后保存，完成自定义权限对象的创建。
（如果已经存在的字段没有满足需要的，则需要点击“Fields maintenance”按钮做步骤五）步骤5：单击创建步骤6：单击创建填入所需Fields Name, Data element, Table Name名称，保存。
返回步骤四，填入刚刚建好的字段名称，保存。
完成全线对象的创建。
步骤7：用事务代码PFCG，手工分配自定义的权限对象。
步骤8：在程序控制写入代码控制自定义权限对象。
Function module：EXIT_SAPLMGMU_001INCLUDE ZXMG0U02.*&---------------------------------------------------------------------**& Include ZXMG0U02*&---------------------------------------------------------------------* TABLES: MAKT.IF sy-tcode = 'MM01' OR sy-tcode = 'MM02'.AUTHORITY-CHECK OBJECT 'ZMATNR' ID 'ACTIVITY' FIELD '01'.IF sy-subrc NE 0.SELECT SINGLE * FROM MAKT WHERE MATNR = WMARA-MATNR AND SPRAS = SY-LANGU. READ TABLE STEXT WITH KEY SPRAS = SY-LANGU.IF SY-SUBRC = 0.IF STEXT-MAKTX <> MAKT-MAKTX.MESSAGE 'You have not the authority change material text' TYPE 'E'. ENDIF.ELSE.MESSAGE 'You have not the authority change material text' TYPE 'E'. ENDIF.ENDIF.ENDIF.注意：Object name, Object field name及Object field值可根据实际情况修改。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
创建自定义权限对象
步骤1：事务代码SU21（Maintain Authorization Objects），单击创建。
选择“Object class”（如果已经有的Object Class能满足需要则不要此步，直接做步骤三）
步骤2：填入Object class和Text名称，然后保存。
步骤3：单击创建，选择“Authorization Object”。
步骤4：填入Object，Text，class名称，在Authorization fields的fields name中加入需要控制的字段名，然后保存，完成自定义权限对象的创建。
（如果已经存在的字段没有满足需要的，则需要点击“Fields maintenance”按钮做步骤五）
步骤5：单击创建
步骤6：单击创建填入所需Fields Name, Data element, Table Name名称，保存。
返回步骤四，填入刚刚建好的字段名称，保存。
完成全线对象的创建。
步骤7：用事务代码PFCG，手工分配自定义的权限对象。
步骤8：在程序控制写入代码控制自定义权限对象。
Function module：EXIT_SAPLMGMU_001
INCLUDE ZXMG0U02.
*&---------------------------------------------------------------------*
*& Include ZXMG0U02
*&---------------------------------------------------------------------* TABLES: MAKT.
IF sy-tcode = 'MM01' OR sy-tcode = 'MM02'.
AUTHORITY-CHECK OBJECT 'ZMATNR' ID 'ACTIVITY' FIELD '01'.
IF sy-subrc NE 0.
SELECT SINGLE * FROM MAKT WHERE MATNR = WMARA-MATNR AND SPRAS = SY-LANGU. READ TABLE STEXT WITH KEY SPRAS = SY-LANGU.
IF SY-SUBRC = 0.
IF STEXT-MAKTX <> MAKT-MAKTX.
MESSAGE 'You have not the authority change material text' TYPE 'E'. ENDIF.
ELSE.
MESSAGE 'You have not the authority change material text' TYPE 'E'. ENDIF.
ENDIF.
ENDIF.
注意：Object name, Object field name及Object field值可根据实际情况修改。
上面示例程序定义为，Object field ‘ACTIVITY’= 01时为可修改物料描述
当‘ACTIVITY’等于其他值时则未不可修改。