SAP系统权限培训文档

1、XXXX公司ERP系统权限培训文档ERP系统实施项目2009年4月15日目录二、SAP系统的环环境三、权限的基基本概念念四、用户和角角色的创创建五、权限设置置的注意意事项 一、权限限的重要要性权限的重重要性在SAP系统中，业务人人员是否否能够行行使该业业务范围围的操作作是由权权限来实实现的。权限工作作的好坏坏是系统统能否成成功上线线的基础础之一。最终用户户是权限限的直接接使用者者，权限限设计的的好坏会会直接影影响到最最终用户户对使用用ERP系统的信信心。权限的重重要性权限实施施工作的的重要性性权限实施施是ERP系统上线线的必备备条件之之一，权权限设计计的合理理性、实实施的准准确性和和测试的的精

2、准度度是系统统能否成成功上线线的基础础之一。在权限设设计、实实施和测测试全过过程，由由于地区区公司人人员最了了解其自自身业务务，因此此由地区公司司权限组组全程参与与权限设设计和实实施工作作，将从从ERP技术角度度和地区区公司业业务角度度双重保保障权限限实施的的质量，进而保保证ERP项目的顺顺利上线线。项目准备蓝图设计系统实现权限设计、实施、测试最后准备上线支持权限的重重要性权限运维维工作的的重要性性在项目上上线及运运维阶段段，系统统处于稳稳定运行行状态，权限变变更安全全合理才才能防止止越权和和误操作作发生，从而保保证系统统数据安安全。通过ERP项目权限限组和地区公司司权限组组在权限设设计实施施

3、期间的的相互配配合，提提高了地区公司司权限组组的问题处处理能力力，将在在项目进进入上线线支持及及运维期期后，有有效保证证了权限限变更工工作的顺顺利进行行。项目准备蓝图设计系统实现上线支持 运维最后准备上线支持5日期Date:目录一、权限限的重要要性 三、权限的基基本概念念四、用户和角角色的创创建五、权限设置置的注意意事项二、SAP系统的环环境RSAP系统环境境PetroChinaSystemLandscape开发系统统测试系统统生产系统统SAP系统采用用SAP4Systems Landscape架构,此架构中中包含三三套SAP系统：开开发系统统、测试试系统、生产系系统、生生产支持持系统。它们的

4、的作用分分别如下下。所有的开开发和配配置工作作都应在在开发系系统中进进行，修修改的对对象在开开发系统统上进行行初步的的测试后后可以将将其传送送到测试试系统上上。在测测试系统统中对新新开发的的内容进进行全面面的测试试，由于于是独立立的系统统，这些些测试都都可以在在不影响响生产下下进行。需要传传输的对对象在通通过测试试后才可可以传输输到生产产系统。生产支持持系统环境同步步传输路径径RPetroChinaSystemLandscape开发系统统测试系统统生产系统统开发系统统Development(DEV)SAP项目的实实施系统统，各种种业务模模块的客客户化工工作、相相关的应应用开发发等在该该系统中中

5、进行。并提供供进行单单元测试试的环境境。生产支持持系统环境同步步传输路径径SAP系统环境境RPetroChinaSystemLandscape开发系统统测试系统统生产系统统测试系统统Quality Assurance(QAS)为各种客客户化和和开发工工作提供供完整测测试的系系统，其其中存有有企业实实际业务务数据，用以验验证客户户化和开开发的正正确性。同时，此系统统亦用于于关键用用户及最最终用户户的培训训。生产支持持系统环境同步步传输路径径SAP系统环境境RPetroChinaSystemLandscape开发系统统测试系统统生产系统统生产系统统Production (PRD)企业日常常运转实实

6、际使用用的系统统，其中中存有企企业的完完整业务务数据，生产系系统中不不允许直直接做客客户化或或开发。生产支持持系统环境同步步传输路径径SAP系统环境境RPetroChinaSystemLandscape开发系统统测试系统统生产系统统生产支持持系统如果最终终用户在在使用ERP系统过程程中，遇遇到系统统问题。需要运运行支持持人员在在系统中中重现其其问题，并加以以解决。通过定定期将生生产系统统的数据据复制到到生产支支持系统统，可以以完整模模拟生产产系统的的数据。同时，生产支支持环境境可以模模拟对生生产系统统进行系系统压力力测试。生产支持持系统环境同步步传输路径径SAP系统环境境日期Date:目录一、

7、权限限的重要要性二、SAP系统的环环境 四、用户和角角色的创创建五、权限设置置的注意意事项三、权限限的基本本概念权限的基基本概念念名词解释释：User account就是我们们平常说说 “USER ID”(注意用户户类型）dialog用户权限：它允许或或禁止用用户在系系统中进进行操作作和处理理事务，一般以以角色分分配给用用户角色（Role）权限的集集合，基基于业务务要求创创建所谓的“角色”是sap4.0才开始有有的概念念其实实就是对对user的需求进进行归类类使权限的的设定更更方便。分为singlerole和compositerole两种后者是前前者的集集合，我我们需要要创建的的是single

8、role。Profile:真正记录录权限的的设定的的文件,和角色绑绑定在一一起，一一个角色色生成一一个PROFILE。权限对象象：被授权的的业务对对象，由由字段值值和参数数组成。日期Date:SPEX SAPR/3ProjectVersion 1.0Authorization Concept授权就是给个人（或组）一个方式或权力来行使一些特殊的职责用SAP的语言来来说.它允许或禁止用户在系统中进行操作和处理事务权限的概概念授授权日期Date:授权级别别图权限的概概念授授权对象象授权对象象=运行事务务的权限=没有 授权对象没有事务权限日期Date:SPEX SAPR/3ProjectVersion

9、 1.0Authorization Concept进入一个个SAP事务代码码就好象. 从一扇 门 进入一个房间Transaction授权对象 就是开门的 钥匙授权对象权限的概概念授授权对象象日期Date:SPEX SAPR/3ProjectVersion 1.0Authorization Concept即使只缺少一一个对象象，用户都都不能够运行事务务代码运行事务代码需要先具备所有的授权对象! (即整套钥匙)授权对象1授权对象2授权对象3授权对象4授权对象5权限的概概念授授权对象象用户是由由几个角角色组成成的角色下包包括一些些事务代代码角色下包包括的事事务代码码权限的概概念授授权ProfileP

10、rofile:真正记录录权限设设定的文文件Profile与Role是捆绑在在一起的的。在建立Role的时候 Profile是会自动动创建的的，（有有弊端），我们们根据每每个项目目每个模模块的不不同，根根据需求求表对每每个角色色定义一一个profile。Authorization ProfileObjectclass权限对象象（Authorization object）参 数权限的概概念权权限对象象业务、岗岗位及用用户之间间的关系系用户：基于业务务要求而而赋予岗岗位相适适合的角角色，用用户和角角色一对对多的关关系角色：执执行相关关业务所所需要的的权限集集合。业务关键点业务关键点业务关键点角色A角

11、色B角色C用户1用户2业务流程程岗 位用 户日期Date:目录一、权权限的重重要性二、SAP系统的环环境三、权权限的基基本概念念 五、权限设置置的注意意事项四、用用户和和角色的的创建日期Date:USERID的命名规规则SAP系统分为为门户和和后台两两类系统统，后台台系统包包括ECC和BI系统。在在所有SAP系统中，同一用用户的ID是唯一的的，用户户ID最长不超超过12位。ERP用户ID以中石油油邮箱用用户名为为准，要要求不超超过11位（预留留出一位位做为区区分cnpc与petrochina邮箱）。如果没有有邮件地地址，必必须申请请一个不大于11位的邮箱箱地址。有邮件地地址的用用户，取取邮件地

12、地址的用用户名为为用户ID；如果用用户名超超过11位，应另另外申请请一个不不大于11位的邮箱箱地址；举例如下下：正常用户户名：，ID：ZHANGXING超长用户户名：zhangxingyuancnpc.，重新申申请：ZHANGXINGY注：保留一一位是为为区分CNPC和PetroChina不同邮箱箱，如果果产生冲冲突，则则在用户户名前加加前缀，集团ERP用户ID前加前缀缀V，股份ERP用户ID前加前缀缀U。举例如下下：CNPC：，ID：VZHANGXINGPetroChina：，ID：UZHANGXING日期Date:相关事务务代码SU01用户维护护PFCG角色维护护SU24维护事务务权限对对

13、象的分分配SU3维护用户户参数文文件SU53显示用户户的权限限数据SUGR维护用户户组SUIM用户信息息系统SU10用户批维维护日期Date:USERID的建立T_codeSU01SU01SU01日期Date:USERID的建立输入要创建的User ID1单击建立图标2日期Date:USERID的建立填好这些些字段注：1、“姓”为必填填项2、通讯方方法选择择：INTE-mail3、如果输输入座机机号，分分机号必必须填写写00USERID的建立选择“对对话”类类型设定初始始密码用户组选选择此用用户对应应的组，地区二二级管理理员管理理USERID的建立这些都是是必填项项USERID的建立用户组要要

14、与前面面设置相相同，这这个用户户组是总总部技术术组管理理用户用用的USERID的建立点击SAVE，这个用用户就创创建好了了帐号的批批维护有时我们们需要对对账户进进行批量量维护,例如：当公司地地址变了了，需要要变更所所有用户户的公司司地址。月结时，需要将将除了月月结人员员外，其其它的所所有用户户暂时锁锁定。T_CODE：SU10USER ID批量修改改全选用户户后，点点击transfer可以批量量修改“新疆油油田咨询询顾问”的前台台信息，包括添添加角色色、锁定定用户等等创建用户户组T_CODE：SUGR例如：创建勘探探与生产产项目大大港油田田顾问用用户组EDGYTZXGW业务板块块缩写项目名称称

15、缩写咨询顾问问ROLE的建立T_CODE：PFCGUSER ID创建好了了但这时这这个USER ID没有任何何权限是什么都都不能做做的。USER得到这样样的帐号号没有任任何意义义。如何分配配权限给给用户主要是分分配Role给这个帐帐号。下下面我们们看看如如何建Role和分配权权限。ROLE的建立创建Role主要有三三种方式式：1.新建2.继承3.复制（COPY） 根角色的的创建输入role的角色描述须能表示示Role的内容及及属性根角色的的创建点击“事事务”添添加tcode按照profile命名规则则进行命命名根角色的的创建标准T-code所需要的的Object,系统会自自动列出出来组织级别别

16、没有维维护OBJECT只有部分分维护OBJECT已经全部部维护请注意绿灯只是是表示全全部维护护但不一定定就是我我们所需需要的值值。根角色的的创建根角色的的创建在这里介介绍一下下的作用点击它就相当于于给这个个Object一个“*”(star)“*”的意义是是AllAuthorization不卡任何何权限。根角色的的创建然后按激激活，退出已经变成成绿灯这表示权权限的设设定已经经可用了了点击，再点击击此权限已已经分配配完毕，test001这个帐号号已经具具有了主主数据维维护的权权限派生角色色的定义义所谓派生角色色,是指根Role和派生Role形成这样样的母子子关系派生Role的所有权限、权权限对象象

17、（组织级别别值除外)都源于根Role,并与根Role保持一致致。根Role与派生Role是一对多的。根角色与与派生角角色之间间的关系系公司组织机构构地区公司司1地区公司司3员工1地区公司司2根角色A角色派生角色A1地区公司1地区公司2地区公司3地区公司1地区公司2地区公司3根角色B根角色C根据根据据岗位分分配按限制范围派生出不同的子角色员工2员工3员工1员工2员工3员工1员工2员工3派生角色A1派生角色A1派生角色B1派生角色B1派生角色B1派生角色色的创建建根据公司司代码派派生的，创建好好后点击击“创建角色色”组织级别别代码字字典表派生角色色的创建建角色继承承就是通通过这派生角色色的创建建这

18、时候的的派生角角色还没没有完全全继承，要返回回根角色色里点击击生生成成派生角角色这时候一一个派生生角色就就创建完完成了角色的复复制输入角色色，点击击copy复制角色色这时候一一个角色色就复制制完成了了角色的创创建-继承与复复制小结用继承的的方式建建立新Role，继承后，只需维护好组组织级别别Object就全部是是绿灯了了。用复制的的方式全部是绿绿灯。这是两者者操作上的最大大区别。角色的修修改对Role的修改最最常见的的就是T-code的新增/删除，这这种改动动一般是从从菜单开开始（派派生角色色不能修修改T-code）。添加VF01（创建客客户发票票）角色的修修改角色的修修改当Role所包含的的

19、T-code经过修改改后可能含有多个同样样的Object其Value可能互相相包含。这时可以以通过合合并的动动作使同同一个Object内Value相同或者者互相包包含的项项合并起起来使权限的的条目更更清晰。Debug/查看有一些工工具对权权限的问问题处理理很有帮帮助1.SU532.SUIM3.SU24Debug/查看-SU53当一个帐帐号反映映没有某某个应有有的权限限时我们可以以在系统统出现没没有权限限的信息息时马上输入入“/NSU53” Debug/查看-SU53但是请注注意SU53给出的信信息并不不详细大部分情情况只能能作为一一个大方方向的参参考有时还可可能指示示不出来来问题所所在。Debug/查看-SUIMSUIM其实就是是Information系统的一一个集合合界面。我们最常常用的功功能是已知某个个T-code查找含有有这个T-code的Role。Debug/查看-SU24查看XD01含有哪些些权限对对象，哪哪些是需需要检查查的Debug/查看-SU24查看F_KNA1_BED检查哪些些Tcode日期Date:几点需要要注意的的地方权限设定定非常重重要而而且一旦旦出现问问题，排排错非常常繁琐、耗時,所以请请大家设设定时一一定要非非常谨慎