用户分权管理 - SAP S/4 Basis Tips

本文在 SAP S/4 HANA 1709 下测试通过

概述

在SAP的日常运维工作中，用户管理(账号创建\解锁\重置密码\删除) 和 权限管理(授权\收权) 往往占据了很大一块工作量，且Basis团队往往并不清楚能否进行这些用户和权限操作，需要进行大量的邮件沟通工作或复杂的OA审批流程才能予以确认；为此，Basis团队可考虑将这些工作移交给各模块或分子公司的关键用户或行政人员，从而减少用户沟通成本，避免basis团队不合理的授权，且能大幅减少basis团队不必要的工作量，将更多精力用于系统管理上。

本文仅介绍进行分权管理的技术配置方法，至于如何把这些工作成功的交给各模块/公司，由于各公司的文化氛围和甩锅技巧的差距很大，请根据各自公司的实际情况灵活处理，建议在上线前将工作职责分配清楚。

本文的方法为SAP Help Portal 推荐方法，具体参考：SAP Help Portal: User and Role Administration of Application Server ABAP -> ABAP Authorization Concept -> Organizing Authorization Administration) (https://help.sap.com/viewer/c6e6d078ab99452db94ed7b3b7bbcccf/1709%20000/en-US/4f49ac8f67502893e10000000a42189b.html)

 

 

以下配置，以按模块分权管理为例，各模块的管理员可对本模块下的最终用户进行信息修改、密码重置、解锁等工作(账号的新增和删除因涉及License费用，建议仍由信息部门的basis团队统一管理)；且可以将本模块下的角色授给任意需要的用户，或从任意用户处收回；各位可以举一反三，使用此方法实现按 分子公司\工厂 的分权管理；

 

准备和前提

1. 业务角色编码规范：为了方便限制不同的用户管理员，仅能授予该模块的角色权限，因此在本地角色命名时，一定要符合一定规范，本例中，所有的FICO角色均以 ZL_FICO_**** 开头，所有的MM模块的角色均以 ZL_MM_****开头，诸如此类，示例如下：

2.设置用户组：为了限制不同模块的用户管理员，仅能管理本模块下的用户，因此我们需要用事务码 SUGR 建立分权所需的用户组，本文示例如下(OP 表示 Operator)：

3.将每个用户分配给用户组：使用 SU01 或 SU10，将每个用户分配给不同的用户组，

  1)  特别注意：如果某个用户未分配给任何用户组，那么所有的用户管理员均可管理此用户；

  3)  建议将系统用户、Basis相关用户、各模块用户管理员均设置到SUPER用户组，这样能避免管理员解锁这些账号/重置密码，造成系统问题或安全风险；

  2)  建议在上线批导用户时，将用户组分配好，可以使用 SUIM 中的相关工具查看用户组整体分配情况；

 

建立模块管理员角色

使用 PFCG 建立一个单一角色，本例为  ZL_BASIS_0002_FICO:用户管理员(FICO模块)，然后直接编辑参数文件：

从弹出的标准模板选择窗口中，选择SAP的标准模板：SAP_ADM_US：User Administrator，这个模板会提供用户管理所需的常用功能；

在 组织级别中，我将 Plan Version 将其设置为"*"，虽然我也不知道这东西时干嘛的。。有知道的同学还请解释下

 

然后我们手工设置BC_A下的一些权限对象，具体如下图所示，解释如下：

1)  S_USER_AGR -> ACT_GROUP：允许操作的角色，此处我设置为 ZL_FICO_* (FICO相关角色)和 ZL_COMMON_*(所有用户均可开通的权限)；

2)  S_USER_GRP -> CLASS：允许修改哪些用户组的用户信息，此处我设置为 OP-FICO；

3)  S_USER_GRP -> ACTVT：允许修改用户的哪些信息，我去掉了 Add or Create 和 Delete，避免模块管理员增删用户；

4)  S_USER_PRO -> PROFILE：设置为T*，避免模块管理员将SAP_ALL之类的系统profile授权给用户；

5)  S_USER_SAS -> CLASS：设置可以给哪些用户组下的用户授权，我设置为*，这样可以给任意用户授权；

6)  S_USER_SAS -> ACT_GROUP：可以给用户授予哪些角色，设置和第一条保持一致。

 

保存该角色，然后将其授权给FICO模块的用户管理员，这样该管理员即可对OP-FICO用户组下的用户进行解锁、重置密码、信息修改操作，且可以将ZL_FICO_开头的角色授权给所有的用户

 

后记

使用此方法，配合恰当的甩锅策略，我们可以将大多数的权限和用户管理工作分给各模块/分子公司/跨国集团的各国总部，只需在需要新建/删除账号时，收取License费用并建立账号即可（删除账号其实也可以甩出去)。至于如何设置分权计划，如何成功的将锅甩出去，还是取决于各位的basis非技术能力。