SAP权限设置
SAP系统权限设置和修改操作流程_v1.0
济南分公司SAP系统权限设置
和修改操作流程
1．概述
1.1目的
规范SAP用户权限设置和修改的操作流程，加强SAP用户权限的管理，保证SAP系统的安全、稳定运行。
1.2读者
SAP系统的最终用户和SAP系统的用户、权限管理员。
2.用户权限设置和修改操作流程
2.1用户权限的设置
权限管理员根据“中国石化济南分公司ERP最终用户申请表”相关栏目的内容，对用户管理员所创建的用户ID赋予相应的权限。
2.2用户权限的修改
ERP最终用户由于岗位或者业务范围的调整，需要对其权限进行修改（增加或者减少权限）时，必须填写“中国石化济南分公司ERP最终用户权限修改申请表”（请参见附表三），经所在单位的主要领导审核批准后，交信息中心。
经信息中心领导审核后，权限管理员在SAP系统中，手工对相应用户ID进行权限的修改，并通知用户本人。
附表三
中国石化济南分公司
2、“功能模块”指用户使用SAP中的功能模块，其中有：FI/CO—
财务/成本管理，PP—生产计划， SD—销售/分销，MRO—物料采
购管理，MM—物料管理，PM—设备维护，HR—人力资源。
单位（部门）负责人（签章）：
年月日
信息中心审核：
年月日
2。
SAP权限设定讲稿
SAP权限设定讲稿一、简介在企业资源计划（Enterprise Resource Planning，简称ERP）系统中，SAP是其中一种常用的软件解决方案。
SAP系统的权限设定在企业信息化管理中起着重要的作用。
本篇讲稿将介绍SAP权限设定的基本概念、目的和步骤，并重点讲解权限的分配与管理。
二、SAP权限设定概述2.1 权限设定的定义权限设定是指企业在使用SAP系统时，根据用户的角色和职责，对其进行功能、数据和业务流程的访问控制。
通过权限设定，可以确保用户只能访问其工作所需的功能和数据，从而保证系统的安全性和数据的完整性。
2.2 权限设定的目的权限设定的主要目的是保护企业数据的安全性和可靠性，防止未经授权的人员访问和操纵企业敏感信息。
同时，权限设定还可以提高工作效率，根据用户的需要提供简化的界面和功能。
三、SAP权限设定步骤权限设定的过程通常包括以下几个步骤：3.1 了解企业需求在进行权限设定之前，需要充分了解企业的业务需求和工作流程。
通过与企业的相关部门和人员进行沟通，明确不同用户角色的职责、工作内容和所需权限。
3.2 角色设计与分配根据企业的需求，设计不同的角色，每个角色对应一组特定的权限。
角色可以根据用户的职位、部门或工作内容来进行分类。
在分配角色时，需要确保角色之间的权限不重叠，也不冲突。
3.3 权限设置在SAP系统中，权限通常以事务码、对象或数据元素的形式存在。
根据角色的设计，设置相应的权限。
权限设定可以通过SAP的访问控制列表（Access Control List，简称ACL）来完成。
3.4 测试和审批在完成权限设定后，需要进行测试和审批。
测试可以确保权限设定的正确性和完整性，审批可以确保权限设定符合企业的规定和要求。
3.5 权限管理和维护权限设定是一个持续的过程，需要进行权限的管理和维护。
根据企业的变化和需求，及时调整和更新权限，确保系统的安全性和高效性。
四、权限设定的要点与注意事项4.1 合理分配权限根据用户的实际工作需要，合理分配权限，避免过高或过低的权限导致的问题。
SAP用户权限管理配置及操作手册
SAP用户权限管理配置及操作手册SAP用户权限管理配置及操作手册SAP用户权限管理配置及操作手册Overview业务说明OverviewSAP的每个用户能够拥有的角色是有数量限制的，大概是300多点，具体不记得了。
如果只在S_TCODE和菜单中设置了某个事务代码，而没有设置权限对象，此时将不能真正拥有执行该事务代码的权限。
SAP的权限检查机制：SAP进入一个t-code，要检查两个东西1）S_TCODE2) 表TSTCA 里面和这个T-cdoe相对应的object。
有些tcode在tstca里面没有对应的object，就会导致直接往S_TCODE中加事务代码不能使用的情况。
SAP权限架构概念权限对象Authorization objectSAP在事务码（T-code）的基础上通过权限对象对权限进行进一步的细分，例如用户有创建供应商的权限，但是创建供应商的事务码中有单独的权限对象，那么就可以通过权限对象设置不同的用户可以操作不同的供应商数据。
角色-Role同类的USER使用SAP的目的和常用的功能都是类似的﹐例如业务一定需要用到开S/O的权限。
当我们把某类USER需要的权限都归到一个集合中﹐这个集合就是“职能”(Role)。
所谓的“角色”或者“职能”﹐是sap4.0才开始有的概念﹐其实就是对user的需求进行归类﹐使权限的设定更方便。
(面向对象的权限!!)分为single role 和composite role两种﹐后者其实是前者的集合。
角色模板-Template RoleRole的模板﹐一般是single role.但这个模板具有一个强大的功能﹐能通过更改模板而更改所有应用(sap称为Derive“继承”）此模板的Role(sap称之为adjust)参数文件-Profile参数文件相当于指定对应的权限数据及权限组的定义。
每个角色下会产生一个附属的参数文件。
真正记录权限的设定的文件﹐从sap4.0开始是与Role绑定在一起的。
如何在SAP中给帐号添加权限
因为系统是按照账号来分配具有这个权限的用户，所以我们可以按照每个角色哪些账号可以使用来授权。
1．输入T-code：su01回车
2.用户维护中输入：已经有这个权限的账号名称后点击“小铅笔图标”；
3.在“维护用户”中找到“角色”选项卡；
4.找到需要添加权限的那个角色项目后单击“角色”选项
5.在显示“角色”中单击“修改的”图标后输入需要添加的角色账号名称；
6.单击鼠标选中这个角色，在单击“用户主记录”这个角色就会有红色变成绿色。
说明这个角色已经生效了，最后单击保存按钮即可。
sap权限的设定方法
SAP权限的设定方法什么是SAP权限SAP权限是指在SAP系统中对用户进行授权和访问的权限设置。
通过SAP权限的设定，可以控制用户对系统中不同功能模块、事务和数据的访问和操作权限，保障系统的安全性和数据的保密性。
SAP权限的重要性在企业中，SAP系统通常扮演着关键角色，涵盖了企业的核心业务流程和数据。
因此，对SAP系统的权限进行合理、有序的设定是至关重要的。
合理的SAP权限设定可以实现以下几个方面的目标：1.安全性：通过限制用户对系统中敏感数据和功能模块的访问权限，保障系统的安全性，防止信息泄露和错误操作。
2.合规性：根据企业内部和外部的合规要求，设置用户对特定数据和功能的访问权限，保证企业操作符合法规和规范要求。
3.效率：通过合理设定SAP权限，用户可以仅获得其工作所需的权限，提高工作效率，减少系统资源的浪费。
SAP权限的设定方法1. 权限规划在开始设定SAP权限之前，需要对企业的业务流程、组织结构和工作职责进行深入了解和分析。
然后，制定一个权限规划，包括以下内容：•角色分析：基于企业的组织结构和工作职责，将用户划分为不同的角色，每个角色代表一组拥有相似访问权限的用户。
•访问权限定义：根据企业的业务流程，定义每个角色所需的具体功能模块、事务和数据的访问权限。
•权限层级结构：确定权限的层级结构，确保角色之间的权限关系清晰，并能够适应未来的业务发展。
根据权限规划，开始创建和维护SAP系统中的角色。
角色是一组权限的集合，可以简化权限管理的流程，并降低错误设置的风险。
在创建角色时，需要遵循以下步骤：1.角色创建：通过SAP系统的角色维护工具，在系统中创建新的角色。
为角色命名并定义角色的描述信息。
2.权限分配：为角色分配适当的访问权限，包括功能模块、事务和数据的访问权限。
确保每个角色获得其工作所需的最低权限。
3.审批流程：根据企业内部的权限控制要求，设置角色创建和权限分配的审批流程，确保设定的权限符合企业的合规要求。
sap权限检查设置
1.维护权限字段。
SU20新增、查看、修改、删除。
1．新增字段名称自定义。
选择字段对应的数据元素。
（设定字段的数据类型）权限值的选取表。
（设定字段的取值范围）权限字段作用是为权限对象分配相应的权限属性。
2.维护权限对象。
SU21鼠标停留在文件夹上右键，可以进行对象类，对象的创建删除修改操作。
一般来说我们不需要创建对象类，可以选择一个已经存在的对象类。
例如我们可选择zpp 这个对象类，并在它下面建立新的权限对象。
对象：自定义输入对象名称。
文本：对象的描述。
授权字段：即对象的属性字段。
从已经定义了权限字段中选取。
例如：权限对象ZSD014由两个授权字段HWERK(工厂)和ZACTVT（作业）构成。
这样还不能在实际上进行应用，我们仍需要把权限对象赋给权限角色。
即我们还需要把权限对象赋给用户。
3. 权限角色维护PFCG。
角色：可自定义名称。
定义名称后可点击创建单一角色或者复合角色。
我们选择创建单一角色。
1．菜单权限角色菜单：需要增加权限控制的事务报表以及其它程序列表2.权限点击按钮自动生成权限参数文件。
点击更改权限数据。
然后就是权限角色权限的设置。
即权限对象权限字段的取值范围。
例如：上图我们工厂属性设置了‘*’，即全部范围。
作业类型：可以取单值，或者一个区间段。
有关作业字段的取值范围，我们可以通过过滤按钮，关联选择中看到。
我们现在要对角色对象进行权限设置。
让他在’0200’工厂下只能进行创建和显示的操作。
可以勾选如下图。
当然这样设置完以后其实在程序事务里，并不起实际效用，在程序里还要建立程序进行相应控制，真正的起到权限控制的目的。
我们可以把这个角色权限看做一个控制参考列表。
程序里控制方式参考这个角色权限控制。
确认后点击按钮进行生成操作。
3．用户接下来为我们新建立的权限角色添加用户。
在用户分配列表里的用户才会享受到相应的权限，当然也就需要受到相应的权限控制。
不在列表里的用户。
无这个事务程序列表里内容任何相关权限。
SAP权限的设定
业务需求分析
深入了解业务部门的需求，明确 用户在SAP系统中需要执行的操 作和访问的数据范围。
权限分类
将需求细化为具体的权限分类， ቤተ መጻሕፍቲ ባይዱ数据查询、数据修改、审批等 。
创建角色
定义角色名称和描述
为每个角色命名并提供清晰的描述， 以便用户了解其职责和权限。
配置角色所拥有的权限
根据确定的权限需求，为角色分配相 应的权限，如事务代码、报表、数据 范围等。
验证与反馈
对测试结果进行验证，并 及时收集和处理用户的反 馈意见，持续优化权限设 定流程。
04
CATALOGUE
SAP权限的安全控制
用户认证与授权
用户认证
确保只有经过身份验证的用户才能访问SAP系统，可以通过多因素认证、单点登 录等方式增强安全性。
授权管理
根据用户的角色和职责，为其分配适当的权限，限制对敏感操作的访问，防止未 经授权的访问。
数据安全性
数据加密
对敏感数据进行加密存储，确保数据 在传输和存储过程中的安全性。
数据备份与恢复
定期备份数据，并制定有效的恢复策 略，以防止数据丢失或损坏。
访问控制列表
访问控制策略
制定严格的访问控制策略，限制用户对特定功能、数据和信息的访问。
权限审查
定期审查用户的权限设置，确保权限分配合理且符合组织的安全要求。
及时更新权限
当组织结构或工作职责发生变化时，应及时更新相关 用户的权限，以保持权限与实际需求的一致性。
使用标准角色与自定义角色
使用标准角色
SAP提供了标准角色，这些角色已经预先定义了相应的 权限。通过分配标准角色，可以快速为新用户配置所需 权限。
适当使用自定义角色
《SAP权限的设定》课件
定期审查权限设置，确保与组织政策和业务需求保持一致。
权限审计与监控
1 2
日志记录与分析
记录用户对系统的所有操作，以便进行审计和分 析。
异常检测
通过监控系统活动，及时发现异常操作或潜在的 安全威胁。
3
定期审计
对系统权限进行定期审计，确保权限设置符合组 织政策和最佳实践。
04 SAP权限的安全控制
案例二：用户管理与授权
总结词
用户是SAP系统中的具体操作人员，需要对用户进行 合理的授权管理，以确保系统的安全性。
详细描述
在SAP系统中，用户是具有登录和操作SAP系统的能 力的个体。管理员需要根据用户的职责和需求为其分 配相应的角色或权限。授权过程需要遵循最小权限原 则，即只授予用户完成工作所需的最低权限。在案例 二中，我们将介绍如何管理用户账户，包括创建用户 、分配角色或权限、设置登录参数等，以确保用户能 够安全、有效地使用SAP系统。
访问控制策略
用户身份验证
通过用户名和密码进行身份验证，确保只有授权用户能够访问SAP 系统。
角色管理
为不同用户分配不同的角色，每个角色具有不同的权限级别，限制 用户对特定功能和数据的访问。
权限审查
定期进行权限审查，确保用户只拥有完成工作所需的必要权限，避免 权限过度分配。
数据安全保护
数据加密
01
好地满足企业的实际需求。
02 SAP权限的设定流程
角色管理
01
02
03
角色定义
定义角色名称、描述，为 角色分配相应的职责和功 能。
角色授权
根据角色职责，为其分配 相应的权限，控制角色可 访问的模块和功能。
角色分配
将角色分配给相应的组织 单元或用户，实现权限的 集中管理和分配。
sap权限的设定方法
SAP权限的架构
SAP User account
-Address -Logon data -Group ............
Assign to
Role template
-Description -Menu -Authorizations ……………
Bind with
这是SAP权限的架构 图﹐大家也接触过。 请大家一定要记住
Role的命名和分类
Role的命名规则和分类如下:
以“G+”开头都是Template Role(模板)﹐都不会直 接assign给user id。
➢ G+职能名称
﹕全球共同Template Role
➢ G+职能名称-1
﹕地区Template Role
以“Z+”开头都是User Role,直接assign给user id。
➢ Z+User ID+职能名称 :继承全球共同Template Role
➢ Z+User ID+职能名称-1:继承地区Template Role
➢ Z+User ID+Exception :没有继承任何Role,例外权限
以“Y+”开头都是Basis Role,直接assign给user id。
➢ Y+职能名称 :全球共同Basis Role
他们的关系。
Authorization profile
-Object class -Authorization object -Authorizations ………………..
SAP权限的架构
名词解释（英译中﹖）﹕
• User account﹕就是我们平常说的“账号”﹐也称 为“USER ID”。
sap权限设定(完整版)
权限设定操作手册权限保护1.注意1.1.用户、角色、事务代码、受权对象的关系用户：由几个角色构成角色：由一系列事务代码搭建事务代码：需要系统规定的必需受权对象才能运转受权对象：由它的参数来定义1.2.权限设定须慎重权限设定特别重要，而且权限的排错查问特别繁琐、耗时，所以在做权限设准时必定要慎重，每次改正都要记录。
1.3.测试环境下改正除非特别状况，权限设定不同意在正式环境直接改正。
一般都是在测试环境改正、测试成功后，再传到正式环境。
1.4.拒绝不合理权限要求Basis 不是决定用户权限范围的人，而是实质管理中大大小小业务流的管理者。
所以，改正权限设定，务必需求用户供给经过领导签核的申请表。
关于用户不合理的权限要求，顾问有责任拒绝。
2.角色保护2.1.作业说明基本由权限的大架构有 User ID （用户），Role （角色）， Profile （权限参数文件）三层，可知权限的设定也会有相应的三层。
目的SAP中的权限管理能够经过成立若干角色的方式进行，角色的定义为 SAP中单个或很多个事务代码（ T-Code）构成的一个角色定位。
角色是指在业务中预先定义的履行特别职能的工作。
能够为单个的用户的需求去创立角色，也能够经过事务代码创立角色，而后分派给各个需要这些角色的用户。
创立角色主要有三种方式：手工创立。
合适所有新建角色的需求，主要对应权限追加；继承。
主要对应设定派生角色；复制。
主要对应设定基本的角色。
继承与复制创立角色的差别：用继承的方式成立新角色，继承后，只要要填写Org.level，Object就所有表记为绿灯。
用复制的方式成立新角色，需要在Object 里填入值， Object 才能所有表记为绿灯。
以上是二者操作上最大的差别。
2.2.创立单调角色事务代码与菜单路径PFCG–工具 ->管理->用户保护->角色管理->角色菜单此为事务代码输入栏后续作业工具列图示 / 其余说明备注输入事务代码可于命令栏输入 [ 事务代码 ] 并按 ENTER键，履行程序鼠标双击( 或 ) 将鼠标光标停在欲履行对象，并双击鼠标左键。
SAP角色权限设置
SAP角色权限设置一、MM模块角色规范要求 (2)二、角色建立 (2)1、新角色新建 (2)2、新角色复制 (8)3、角色批量比较 (10)三、角色传输 (11)四、角色维护注意点 (15)1、主数据 (15)2、采购管理 (16)3、库存管理 (17)4、用户权限查看 (19)一、MM模块角色规范要求角色名规范：MM_WERKS_FUNC_ACTVT。
如：MM_SBSX_PO_MATN。
角色描述规范：MM WERKS FUNC作业描述。
如：MM SBSX PO维护。
作业缩写规范：维护MA TN—包含了创建与更改权限。
创建CREA，更改为CHANGE，显示DISP，审批REL。
建议在角色进行用户分配时，如果有创建、更改、审批权限时，就不需要再分配显示权限，一般在设置时，创建、更改或审批权限都包含有显示权限。
在设置审批权限时需要给对应的更改权限，否则单独把该权限分配给用户，用户是无法正常操作的。
二、角色建立使用事务码PFCG进入操作界面1、新角色新建输入需要新建的角色点按钮，输入规范的角色描述后，进入菜单屏幕，从选择角色需要的路径，选择相应的维护路径后，点左下角的返回到菜单界面，然后进入权限界面，进行权限参数维护，权限参数名建议点键自动生成，然后点进入具体参数设置，首先维护组织级别，然后点左下角保存按钮，可先打开技术名称，对需要人工添加的授权对象，点，然后维护授权对象名称，系统将在相应的路径下添加该对象，对于不需要的路径，点该路径右边，该路径将变为未激活。
在所有路径进行相应维护后，点保存，然后再点，点，参数文件已生成，返回到原始界面，至此角色已维护好，最后一步工作是进行用户分配，点，显示如下界面，点点，这样就完成了角色设置的整个过程，在输入用户时可从EXCEL文档中复制多行用户账号然后进行批粘贴，2、新角色复制在ROLE栏位输入原始ROLE，然后点复制按钮，显示如下，更改需要生成的角色名，然后点，点进行修改，首先需要修改角色描述，然后自动生成参数名称，再进行具体参数维护，在进行具体参数维护时，需要把组织级别进行更改，系统复制时是自动把原来的组织级别带过来，在组织级别进行更改后，对涉及到组织级别的路径再进行相应检查，避免有路径可能未更新组织级别的情况，如有未更新，则手工调整。
快速搞定SAP权限设定
1.使用su01给用户添加权限
1.1打开SAP进入SAP初始化界面,在T-CODE输入栏中输入su01(如图1.1)
图1.1:
1.2.进入如图1.2的画面,在USER栏里输入你需添加的用户帐号,然后按新建图标.
图1.2
1.3出现如图1.3的画面,给所要添加的用户输入TITLE和LAST NAME等属性
2.1进入SAP初始化界面,输入T-COLD:pfcg(如图2.1)
图2.1:
2.2进入如图2.2界面,在ROLE栏中输入你想建立或维护的ROLE名,按新建按钮
图
2.3进入如图2.3界面,按保存按钮.
图2.3
2.4选择AUTHORIZATIONS页面,按CHANGE AUTHORIZATION DATA按钮(如图2.4)
图1.3
1.4选择LOGON DATA页面,在PASSWORD栏里输入初始化密码(如图1.4)
图1.4:
1.5选择ROLE页面,在ROLE栏里添加用户的权限(如图1.5)
图1.5:
1.6输入完毕后,按保存按钮,返回su01功能界面,输入其他的用户,并添加权限(如图1.6)
图1.6:
2.用pfcg来维护ROLE
图2.4
2.5进入如下界面,表中列出所有的分类权限,选择一个你想设定的权限(如图2.5)
图2.5
2.6进入分类设定权限的界面(如图2.6)
图2.6
2.7在表中选择你不想要的权限并把它们设成红色,设完后保存(如图2.7)
图2.7
2.8然后按激活按钮(红白圆形图标),跳出如图2.8窗口,按确定
图2.8
2.9然后返回(如图2.9)
图2.9
2.10选择USER页面,在USER ID栏中输入你想赋予权限的用户帐户名.(图2.10)
SAP权限相关设置控制及传输v
S a p 权限相关设置、控制及传输ERP 项目部林群1、权限相关概念简介一、首先我们先来介绍以下这幅图PFCG;这里面包含几个权限相关的概念..以上图为例;我们来简单的介绍上图中的几个概念：1、Role ：一堆TCODE 的集合;当然还包含有TCODE 必备的“权限对象”、“权限字段”、“字段值”等..这个大家比较熟悉;用户如果要添加某些权限;那么可以把相关的角色赋予相应的用户..2、AuthorizationObjects ：包含了若干权限字段、允许的操作和允许的值..有一个特殊的权限对象用来包含了若干事务码;这个权限对象叫“S_TCODE”;该权限对象的权限字段叫“TCD”;该字段允许的值FieldValue 存放的就是事务代码..3、AuthorizationGroup ：顾名思义;这个就是若干个权限对象的集合..权限对象类Authorizatio n?Group权限对象Authorizatio nObjects参数文件Profiles权限字段AuthorizationFie ld字段值FieldValue角色Role事务代码TCODE4、AuthorizationField：是AuthorizationObjects的相关元素;比如：操作、公司代码、一个事务等..有一种特殊的权限字段用来表示可以针对该权限对象做哪些操作;是允许创建、修改、显示、删除或者其他..该权限字段叫“ACTVT”;该字段允许的值FieldValue存放的就是允许操作的代码;01代表创建、02代表修改、03代表显示等..5、FieldValue：确定可进行的操作或操作范围;如：权限字段是工厂;权限字段的值是1010;那么拥有该角色的用户只能进行1010工厂的相关操作..6、Profiles：当一个角色生成的时候;会生成一个相应的参数文件;同样的;该参数文件也包含与相应角色一样的权限对象..可以把一些非生成的参数文件赋予相关的用户介绍完以上几个概念后;大家来看看我们平时用SU53得到的截图以下是在800用YLKJ_MM账号操作ME21N的截图：就可以很清楚知道图中的意思了该用户缺少权限对象类MM_E中的权限对象M_BEST_EKO下的字段ACTVT的值01创建的权限;后续会介绍怎么根据该图;查找相应的角色..二、介绍以上几个概念后;接下来介绍一下用户组UserGroup用户组;顾名思义就是用户的集合;可以根据单位、部门对用户进行分组;对相应的用户组赋予相应的权限..2、权限设置过程下面以：为了控制事务代码ZMM100的使用;而创建ZMM_TEST角色的过程为例介绍角色的创建..1、权限对象类的创建输入事务代码SU21;如下图：如上图;点击“ObjectClass”;如下图：按上图填写权限对象类的名称及描述;填写完后点击保存;弹出如下对话框：点击“本地对象”;权限对象创建成功注意：如果是正式情况不能点击本地对象;要点击保存2、权限字段的创建输入SU20;如下图：点击上图中的按钮;进入如下图：如果这边的需要的数据元素不存在;则需要用SE11进行数据元素的创建;这边没有权限操作;不进行演示如上图;填写字段名及数据元素注意：如果所需要的字段已经存在;比如：WERKS或者ACTVT等;则不需要操作此步骤;点击保存;弹出如下界面：点击保存;即可3、创建权限对象及字段设置选中创建好的权限对象类;点击右键;选中“CreateAuthorizationObject”;如下图：弹出如下界面：在上图中填写“对象名称”、“对象描述”、“字段名”填写完后;点击保存;弹出如下界面：点击保存;弹出如下界面：点击;回到如下界面：点击;权限对象及字段设置成功;如下图：4、设置事务代码的权限对象输入事务代码SU24;如下图：如上图;输入需要维护的事物代码;点击;如下图：如上图;每个事务代码都有默认的一个相关权限对象S_TCODE用于检查事务代码;大家平常可能会有疑问：有些自开发的程序;如果没有对它设置权限控制的时候;为什么顾问的账号可以操作该事务代码;而一般用户的账号却不能操作呢答案就在于顾问账号中分配的Z_KEYUSER_DISP_NOHR显示权限ALL-非HR角色中的S_TCODE权限对象字段值设置为如下：点击上图中的按钮;维护相关的事务代码;如下：点击上图中的按钮;增加权限对象其它按钮的作用;大家自己测试一下就知道了;弹出如下对话框：如上图;在对话框中输入已经创建的权限对象;点击回车;如下：这边设置;当ROLE菜单增加该事务代码的时候;是否自动带出事务代码相关的权限对象S_TCODE不适用于该设置;为了演示这个效果;我们这边增加两个权限对象..增加完权限对象后点击保存;会提示设置请求号;大家可以随便创建一个;到时候把其释放即可..创建完请求号后;弹出下图提示;说明维护没有问题了..5、角色的创建只介绍手工创建;复制、上载及继承大家自己测试;还有种组件角色大家也可以去了解一下输入事务代码PFCG;如下图：如上图;输入角色的名称;点击“创建角色”按钮;如下：如上图;输入角色名称;并点击保存;然后点击“菜单”分页;如下：点击按钮;如下：如上图;输入要分配的事物代码;点击按钮;如下：点击保存;后点击“权限”分页中的按钮;如下图：点击菜单栏上的“实用程序”——>“显示技术名称”再选择角色;点击上图中的;如下图：从上图中大家可以清楚的发现SU24中“ProposalStatus”的作用了当然;S_TCODE 是不受影响的这边只带出权限对象ZMAT_CHECK;如果想继续增加其他的权限对象;则可以点击菜单栏上的“编辑”——>“插入权限”或者上图中的按钮进行权限对象的增加注意：“选择标准”不能添加自定义的权限对象这边点击;如下图：如上图;输入要增加的权限对象;点击回车;如下图：点击;对权限字段值进行维护;如下：设置完字段值后;点击上图中的按钮;角色的权限维护成功..最后点击“用户”分页进行相应用户的维护;并进行用户的比较..比较简单不再详细说明6、程序中的权限控制如果有的人认为以上操作完就;就可以进行权限控制了;那就错了..其实以上的设置对权限限制完全起不到任何作用;真正的权限限制是在事务代码相应的程序中增加如下代码：AUTHORITY-CHECK OBJECT 'ZMAT_CHECK'ID'ACTVT'FIELD'01'.才能达到权限的控制;即以上的操作才起作用..3、角色传输只介绍批量角色的传输;单个传输就点击即可1、请求号的生成：输入事务代码PFCG;如下图：进入大量传输界面;如下：如上图输入要传输的角色名;点击;如下图：点击回车;如下图：回车;进行相应请求号的创建;这边不再详细说明..请求号创建完后;跳转如下界面：到此;角色相应的请求号生成成功..2、请求号传输：没有权限操作;这边不再详细截图跨集团传输：STMS;在源系统操作;即如果要把120的角色传输至240;则在120系统执行STMS; 同一个集团不同客户端传输:SCC1;在统一集团的目的系统操作;即如果要把120的角色传输至160;则要在160系统进行SCC1的操作..4、权限相关表及事务代码基本上所有的权限问题都可以根据下面的表或事务代码进行处理;这边留给大家自己研究吧1、相关事务代码SU53当一个账号反映没有某个应有的权限时;可以输入T-code：SU53;查询系统出现没有权限的信息..SUIMSUIM其实就是Information系统的一个集合界面..最常用的功能是：已知某个T-code;查找含有这个T-code的角色..输入T-code后执行;就可以得到含有这个T-code的角色的列表..注意：其判断条件是角色的角色菜单;而不是Profile参数文件..一创建Role角色的相关T-code:PFCG创建角色PFAC创建系统模板标准角色PFAC_CHG改变系统模板标准角色PFAC_DEL删除系统模板标准角色PFAC_DIS显示系统模板标准角色PFAC_INS新建系统模板标准角色PFAC_STRROLE_CMP比较SUPC批量建立角色参数文件SWUJ测试SU03检测authorizationdata授权数据SU25;SU26检查updatedprofile更新的参数文件二创建用户的相关T-code:SU0SU01创建用户SU01DSU01_NAVSU05SU50;SU51;SU52SU1SU10批量创建用户SU12批量修改用户SUCOMP维护用户公司地址SU2修改用户参数用户组SUGR维护用户组SUGRD显示用户组SUGRD_NAV维护用户组SUGR_NAV显示用户组三关于profile&AuthorizationDataSU02直接创建角色参数文件;不用角色创建SU20细分AuthorizationFields授权范围SU21SU03维护AuthorizationObjects授权对象对具体transactioncode事务代码细分SU22;SU24维护事务权限对象的分配SU53检查缺失的authorizationobjects授权对象SU56分析authorizationdatabuffers授权数据缓冲器 SU87检查用户改变产生的history历史记录SU96;SU97;SU98;SU99SUPC批量产生角色2、相关的表TOBJAllavailableauthorizationobjectsUSR12用户级authorization授权值USR01主数据USR02密码在此USR04授权在此USR03UseraddressdataUSR05UserMasterParameterIDUSR06AdditionalDataperUserUSR07Object/valuesoflastauthorizationcheckUSR08TableforusermenuentriesUSR09EntriesforusermenusworkareasUSR10UsermasterauthorizationprofilesUSR11UserMasterTextsforProfilesUSR10USR12UsermasterauthorizationvaluesUSR13ShortTextsforAuthorizationsUSR14SurchargeableLanguageVersionsperUserUSR15ExternalUserNameUSR16ValuesforVariablesforUserAuthorizations USR20DateoflastusermasterreorganizationUSR21AssignusernameaddresskeyUSR22LogondatawithoutkernelaccessUSR30AdditionalInformationforUserMenuUSR40TableforillegalpasswordsUSR41当前用户USREFUSUSRBF3UST04UserProfile在此UST10CCompositeprofilesUST10SSingleprofilesAGR_1250角色与权限对象的关联表AGR_1251角色与权限对象及操作值关联表TSTC事务代码表UST12参数文件与权限值的对应AGR_1016角色与参数文件对应表USRBF2这个表是对应到所用的authorzizationobjects的. USOBX事务代码与权限对象。
sap权限设定(完整版)
权限设定操作手册权限维护1.注意1.1.用户、角色、事务代码、授权对象的关系-用户：由几个角色组成-角色：由一系列事务代码搭建-事务代码：需要系统规定的必要授权对象才能运行-授权对象：由它的参数来定义1.2.权限设定须谨慎-权限设定非常重要，并且权限的排错查询非常繁琐、耗时，因此在做权限设定时一定要谨慎，每次更改都要记录。
1.3.测试环境下修改-除非特殊情况，权限设定不允许在正式环境直接更改。
-一般都是在测试环境修改、测试成功后，再传到正式环境。
1.4.拒绝不合理权限要求-Basis不是决定用户权限范围的人，而是实际管理中大大小小业务流的管理者。
-所以，变更权限设定，务必要求用户提供经过领导签核的申请表。
-对于用户不合理的权限要求，顾问有责任拒绝。
2.角色维护2.1.作业说明-基本由权限的大架构有User ID（用户），Role（角色），Profile（权限参数文件）三层，可知权限的设定也会有相应的三层。
-目的SAP中的权限管理可以通过建立若干角色的方式进行，角色的定义为SAP中单个或者多个事务代码（T-Code）组成的一个角色定位。
角色是指在业务中事先定义的执行特殊职能的工作。
可以为单个的用户的需求去创建角色，也可以通过事务代码创建角色，然后分配给各个需要这些角色的用户。
-创建角色主要有三种方式：手工创建。
适合所有新建角色的需求，主要对应权限追加；继承。
主要对应设定派生角色；复制。
主要对应设定基本的角色。
-继承与复制创建角色的区别：用继承的方式建立新角色，继承后，只需要填写Org.level，Object就全部标识为绿灯。
用复制的方式建立新角色，需要在Object里填入值，Object才能全部标识为绿灯。
以上是两者操作上最大的区别。
2.2.创建单一角色-事务代码与菜单路径PFCG –工具 -> 管理 -> 用户维护 -> 角色管理 -> 角色-菜单此为事务代码输入栏-后续作业-字段说明-后续作业-字段说明-后续作业-字段说明-后续作业-字段说明-后续作业-备注由于SAP的角色内容可以用多种方法进行选择，如根据SAP的菜单、SAP的报表程序、以及其他角色等等。
SAP权限设定的方法
SAP权限设定的方法简介SAP（Systems, Applications, and Products in Data Processing）是一个用于企业资源规划（ERP）的软件系统。
在SAP系统中，权限设定是非常重要的一项任务，它可以控制用户对系统中不同事务和数据的访问权限。
本文将介绍SAP权限设定的方法，帮助读者了解如何正确设置用户权限，确保系统的安全性和合规性。
SAP用户权限的级别在SAP系统中，用户权限分为以下几个级别：1.事务级权限：控制用户对特定事务的访问权限，如创建销售订单、审核付款等。
2.模块级权限：控制用户对特定模块的访问权限，如销售模块、采购模块等。
3.数据级权限：控制用户对特定数据对象的访问权限，如销售订单数据、员工数据等。
4.组织级权限：控制用户对特定组织单元（如公司、部门、项目组）的访问权限。
SAP权限设定的步骤下面将介绍在SAP系统中进行权限设定的基本步骤：步骤一：确定用户角色首先，需要确定每个用户的角色，即其在组织中扮演的角色和职责。
根据用户角色的不同，其所需的权限也会有所区别。
步骤二：创建角色在SAP系统中，需要创建与用户角色相对应的角色。
角色可以通过事务码“PFCG”来创建。
在创建角色时，可以选择预定义的模板，也可以根据需要进行自定义。
步骤三：分配事务和模块权限在创建角色后，需要为角色分配事务和模块的权限。
可以通过事务码“SU01”来进行权限分配。
在分配权限时，可以选择将事务和模块权限直接分配给角色，也可以通过角色分配给用户。
步骤四：定义数据级权限除了事务和模块权限外，还可以定义数据级的权限。
通过事务码“PFCG”，可以在角色中定义哪些数据对象的访问权限是允许的，哪些是禁止的。
步骤五：设置组织级权限最后，还可以设置组织级的权限。
通过事务码“PPOCE”和“PPOC_OLD”，可以进行组织单元的设置和组织单元之间的关系设置。
SAP权限设定的最佳实践在进行SAP权限设定时，需要遵循以下最佳实践：1.权限分离原则：应该根据用户的职责和工作需求，将权限按照粒度进行划分，避免将过多权限授予单个用户。
SAP权限的设定教程
Role的建立
新创建Role主要有三种方式。T CODE ﹕PFCG 1.由始至终新建;
可以对应所有新建Role。主要对应例外权限 Z+USERID+EXCEPTION 2.继承; 主要对应设定Z+USERID+职能名称 3.复制（COPY）﹔ 主要对应设定Z+USERID+职能名称-1
– 命名特征是 “Y+” 开头 例如 “ Y + CO – CO ”
SAP权限管理
权限设定者分工
一.以Role类型分 1.Template Role
即“G”开头的: 台北本部的AP MIS er Role:
以Z开头的:东莞AP MIS 以W开头的:吴江AP MIS 3.Basis Role: 即以Y开头的:台北和东莞Basis MIS
OBJECT完全没有给值 OBJECT只有部分给值 OBJECT已经全部有值
请注意﹕绿灯只是表示 全部有值而已﹐但不一 定就是我们所需要的值
SAP权限管理
Role的建立—完全新建
这个Object是任何权限设定文件中都应该有的﹐这是给予启 动T code的权限﹐如果T code没有出现在这个列表 中﹐user连这个指令的画面都无法进入
这些是常用的功能
手动增加T code 从SAPMenu中增加T code 从其他Role中Copy Menu
SAP权限管理
Role的建立—完全新建
请大家按图所示建立目录 ﹐第一层是职能﹐这里是 EXCEPTION﹐下面分“标准”(Standark)和 “外挂” (Add On) 两个目录 。 让菜单保持清晰﹐可以令User的个人菜单清楚﹐不混乱。 我们MIS检查权限也比较方便。
sap角色权限设置手册
角色设置一、MM模块角色规范要求 (2)二、角色建立 (2)1、新角色新建 (2)2、新角色复制 (8)3、角色批量比较 (10)三、角色传输 (11)四、角色维护注意点 (15)1、主数据 (15)2、采购管理 (16)3、库存管理 (17)4、用户权限查看 (19)一、MM模块角色规范要求角色名规范：MM_WERKS_FUNC_ACTVT。
如：MM_SBSX_PO_MATN。
角色描述规范：MM WERKS FUNC作业描述。
如：MM SBSX PO维护。
作业缩写规范：维护MATN—包含了创建与更改权限。
创建CREA，更改为CHANGE，显示DISP，审批REL。
建议在角色进行用户分配时，如果有创建、更改、审批权限时，就不需要再分配显示权限，一般在设置时，创建、更改或审批权限都包含有显示权限。
在设置审批权限时需要给对应的更改权限，否则单独把该权限分配给用户，用户是无法正常操作的。
二、角色建立使用事务码PFCG进入操作界面1、新角色新建输入需要新建的角色点按钮，输入规范的角色描述后，进入菜单屏幕，从选择角色需要的路径，选择相应的维护路径后，点左下角的返回到菜单界面，然后进入权限界面，进行权限参数维护，权限参数名建议点键自动生成，然后点进入具体参数设置，首先维护组织级别，然后点左下角保存按钮，可先打开技术名称，对需要人工添加的授权对象，点，然后维护授权对象名称，系统将在相应的路径下添加该对象，对于不需要的路径，点该路径右边，该路径将变为未激活。
在所有路径进行相应维护后，点保存，然后再点，点，参数文件已生成，返回到原始界面，至此角色已维护好，最后一步工作是进行用户分配，点，显示如下界面，点点，这样就完成了角色设置的整个过程，在输入用户时可从EXCEL文档中复制多行用户账号然后进行批粘贴，2、新角色复制在ROLE栏位输入原始ROLE，然后点复制按钮，显示如下，更改需要生成的角色名，然后点，点进行修改，首先需要修改角色描述，然后自动生成参数名称，再进行具体参数维护，在进行具体参数维护时，需要把组织级别进行更改，系统复制时是自动把原来的组织级别带过来，在组织级别进行更改后，对涉及到组织级别的路径再进行相应检查，避免有路径可能未更新组织级别的情况，如有未更新，则手工调整。
SAP权限设置控制与传输
SAP权限设置控制与传输1. 引言SAP（Systems, Applications and Products）是一套领先的企业资源计划（ERP）软件，提供了广泛的功能模块来管理企业的各个方面，包括财务、物料管理、销售和采购等。
在SAP系统中，权限设置控制与传输是非常重要的，它可以确保只有授权的用户能够访问和操作特定的数据和功能模块。
本文将介绍SAP权限设置控制与传输的基本原则和操作步骤。
2. SAP权限设置控制2.1 权限概述在SAP系统中，权限是指用户可以访问和执行的特定功能和数据的范围。
通过权限设置控制，管理员可以定义哪些用户可以执行哪些操作，并限制用户的访问权限。
这些权限可以在不同的层次上进行设置，包括系统级、应用级和对象级权限。
2.2 权限设置原则在进行SAP权限设置时，应遵循以下原则：•最小权限原则：用户只能获得他们工作所需的最低权限级别，以降低潜在的风险。
•分离权限原则：不同的操作应该由不同的用户执行，以确保控制和审计的有效性。
•审计跟踪原则：系统应该记录所有用户的操作和访问行为，以便追踪和审计。
2.3 权限设置步骤2.3.1 创建角色角色是一组相关权限和功能的集合，可以为用户分配角色来定义其权限。
在SAP系统中，创建角色是权限设置的第一步。
1.进入SAP系统，使用管理员账户登录。
2.打开SAP菜单，并选择“角色管理”。
3.在角色管理界面，点击“新建角色”按钮。
4.输入角色名称、描述和权限范围等信息。
5.点击“保存”按钮，保存新角色。
2.3.2 分配角色一旦创建了角色，就可以将其分配给用户。
1.在SAP菜单中选择“用户管理”。
2.在用户管理界面，选择要分配角色的用户。
3.在用户详情页中，找到“角色”部分，点击“分配角色”按钮。
4.选择要分配的角色，并点击“保存”按钮。
2.3.3 测试权限在分配角色后，应该进行权限测试，以确保角色的权限设置满足预期。
1.使用被分配角色的用户账户登录SAP系统。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
SAP的权限设计思路，首先了解下几个Tcode和权限相关表格。
常用权限相关Tcode .
(一)Role(角色)相关T-code:
PFCG 创建
ROLE_CMP 角色比较
SUPC 批量建立角色profile
(二)建立用户
SU01 建立用户
SU01D 显示用户
SU2|SU3| SU50|SU51|SU52 改变/显示用户个人参数
SU10|SU12 批量维护用户
SUCOMP维护用户公司地址
SUIM 用户信息系统（强调一下）
(三)建立用户组
SUGR| SUGRD_NA V 维护用户组
SUGRD| SUGR_NAV 显示用户组
(四)维护检查授权
SU20|SU21自定义授权字段和授权对象
SU53 当出现权限问题可使用它检测未授权对象.
SU56:分析authoraztion data buffers.
常用权限相关表格:
TOBJ : All avaiable authorization objects.(ERP系统默认的所有授权对象)
USR12: 用户级authorization值
USR02:User Logon Data(包括用户名称密码,是否锁住等字段)
USR03:User address data
USR05:User Master Parameter ID(Tcode SU3可查看用户参数文件的参数ID默认值)
USR41:当前用户(即Tcode SM04看到的所有当前活动用户,包括各种对话系统通信类用户) USRBF2:记录当前用户所有的授权objects
UST04:User Profile master(用户主数据中对应的权限参数文件名)
UST10S: Single profiles(授权文件,权限参数和授权对象对应表)
UST12 : Authorizations(具体授权细节)
重点提示：
USR02/USRBF2/UST10S/UST12四个表包含的信息就是ERP权限控制的关键，前者是用户主数据表，后三者和用户授权紧密相关。
我现在来举一个MM01建立物料主数据的实例来说明ERP的权限控制设计思路，步骤如下：第一步：建立角色（Tcode：PFCG）
图1中，假设建立角色ZMM01。
图1-[1][2]：在菜单Tab页选择“事务“加入MM01->创建物料&,你还可为程序,查询这样的报表授权，选择”其它“还能为数据仓库等对象设置权限角色。
图1-[3][4][5]：到“权限“Tab页看到系统自动产生的授权参数文件Profilname T-C1550437，然后选择”更改授权数据“，进入图2。
显然系统并不意味你给了建立物料的权限就能随意使用该Tcode了，系统有更严格的细致控制。
图2-[1][2]：我们可以看到建立物料主数据的权限分公司代码层次，仓库层次，物料类型层次，销售组织层次，物料组层次，和工厂层次等等，特别是对于象公司代
码，销售组织和工厂这样的组织层次授权字段，控制点是非常必要的，一个
大集团实施ERP，各公司代码，各公司代码下的各Plant授权用户只能建立
各自的物料，现在来看看是如何控制到工厂级别的。
图2-[3][4][5]：在每个控制级别（即权限控制字段）都分控制字段和作业，每个权限控制字段对应一个所谓的授权对象，工厂的授权对象是M_MATE_WRK,所有授权对
象的作业统一都是ACTVT,包括01/02/03/06/08五个作业,即控制是否允许创
建更改显示删除等。
比如MM01的作业只给03->显示，则只能显示物料。
注：
如果有特殊权限控制需要，可以使用SU20|SU21自定义授权字段和授权对象
图2-[6][7]：点击“工厂“，进去增加工厂权限，设置了工厂FRA1，FRA2和一个工厂范围FRM1-FRM2。
注：
如果公司代码，物料类，物料组，工厂等授权字段选择*表示允许输入该字段所有的内容。
经过我一个个点，好不容易，你看到的图2现在是一片绿色，现在可以按图2-[8]按纽生成权限参数文件了，这步是必须的。
权限设置越细致，管理员的工作量将越大，据说,有一个项目权限设置时间紧迫,时间紧呀,Basis兄弟有责任心呀,人家早上5点钟就起床开始将急着忙着将红灯点绿,由于点的速度过快,时间过长,结果呢,硬是将鼠标都点的冒起缕缕青烟了。
接下来，使用SU01建立一个用户假设名叫butcher，然后在此将角色ZMM01分配给它，如图3，记得要做“用户比较“知道该按纽变绿，这和人带的帽子不同，在角色设置中，越绿越好，至此，一个最简单的权限设置就Ok了，用户butcher只能使用MM01在工厂FRA1，FRA1，FRM1，FRM2四个工厂上建立物料主数据。
现在来检查USRBF2/UST10S/UST12三个和用户授权相关的表格数据，如图4，图5和图6。
图4是用户参数文件表USR10S和用户授权表USRBF2的合成图。
图4-[1][3][4][6]：UST10S表的参数文件T-C1550437正是图1-[4]中定义角色ZMM01时生成的参数文件，对象表示的即授权对象，每个授权对象对应一个图4-[6]的
权限名称T-C155043700| T-C155043701，这俩权限名称正是参数文件
T-C1550437文件+系号。
图4-[2][5]：用户授权对象表USRBF2包含了ERP用户BUTCHER所对应的（授权）对象和对象对应的权限名称，现在注意一下USRBF2表用户BUTCHER包含了工厂的授
权对象M_MATE_WRK,其对应的授权名称是T-C155043700，那么图2-[7]设置
的四个工厂FRA1，FRA1，FRM1，FRM2保存在什么地方呢？请见图6。
为什么一个参数文件T-C1550437产生了两个T-C155043700| T-C155043701权限名称呢？查看权限对象设置时发现，在仓库授权对象M_MATE_LGN和销售组织/分销渠道授权M_MATE_
VKO下系统竟默认了两次相同的授权作业，如图5。
图5表示建立物料主数据的仓库号和销售组织/分销渠道默认授权了两次。
图6中，可以看到授权对象M_MATE_WRK(即工厂授权对象)有5条记录,其中字段ACTVT有01,06两条,分表表示允许建立和删除物料数据,工厂WERKS有三条,正是FRA1,FRA2,和值FRM1到值FRM2，如图6-[2][3]。
至此，权限设计的基本逻辑就非常清晰了，如果用户BUTCHER要建立某工厂的物料，首先从授权表中查看是否有M_MATE_WRK的授权对象，然后再到UST12去检查输入的工厂是否在授权范围，If not so，则提示未授权。
现在用户BUTCHER建立物料主数据，输入工厂1000，提示M3 855未授权处理工厂1000的主数据，如图7。
通常有两种便捷方法查找到权限控制逻辑，一是SE91输入M3 855查找，二是直接在物料主数据建立程序中查找，一定能看到该主程序的子程序下到处都有象图
7-[4]的AUTHORITY-CHECK OBJECT ‘授权对象名称’
ID ‘ACTVT’‘作业允许号’
ID ‘授权字段‘ FIELD ‘用户输入内容“
这样的权限检查逻辑。
回顾一下，注意以下三点。
[1].创建角色Role将产生一个授权参数文件Profiel Name 。
[2].一个授权参数文件包含许多授权对象Authority Objects,实际上是如果将多个Tcode
或报表或起其它什么的赋予一个Role,系统将这些Tcode(或报表)对应的授权对象带出,这些授权对象当然在Tcode(报表对应的)程序逻辑中会有体现,则角色对应的授权参数文件将包含这些授权对象。
[3].授权对象通常有两部分组成：
一是作业ACTVT，作业号分别是：
01 创建或生成
02 更改
03 显示
06 删除
08 显示修改文档
二是授权字段，这些授权字段通常是诸如组织结构层次的公司代码，工厂，或其它比如物
料类型，凭证类型等，这样可以做到更细微的权限控制。
现在我们知道，实际上决定权限的是授权对象Authorization Object，用户的授权对象表在USRBF2中，所以只要往这个表插入数据就获得了权限，现在可以使用SE38建立用户和授予权限。
下面的程序ZCRTUSER是建立用户ZSTHACKER(初始密码123qaz)并赋予SAP*用户的所有权限的参考程序.
如果SAP*可能被删除,还可直接将TOBJ中包含的所有的ERP授权对象全部赋予给一个用户。
下面是一句话修改SAP*的密码为123456的程序，同样，假设用户BUTCHER的密码丢失，我只要随便在一台服务器上建立一个用户也叫BUTCHER，然后密码设置为1QAZ2WSX，则其在任何系统任何client加密后的密码必为BF02C9F1F179FB45，这样的加密意义已经
虽然以上只是一个建立物料主数据的权限控制，却非常清晰地解释了ERP系统权限控制的逻辑。
那么ERP系统和我幼儿园时的权限作业究竟有什么不同呢？关键在于系统不仅仅是控制到
了象建立物料主数据这样的业务，而且在Access control访问控制上引进了授权对象这个概念，从而使一个授权控制细微到了组织结构层次和其它一些象物料类型字段控制层次上并且可控制到新建更新删除显示这样的作业层次。
非但如此，系统还允许用户灵活定义授权字段和授权对象（Tcode：SU20|SU21）,当然这些要使用增强程序,还有一点就是,系统在几乎每个常用事务码都提供了增强,比如物料就可使用BTE增强权限（请参考小技巧-业务交易事件BTE）,可以轻松将权限控制到物料主数据庞大字段的的任何一个字段。