SAP系统权限——定义用户组(User Groups)【朗泽SAp教育】

SAP权限设定讲稿一、简介在企业资源计划（Enterprise Resource Planning，简称ERP）系统中，SAP是其中一种常用的软件解决方案。

SAP系统的权限设定在企业信息化管理中起着重要的作用。

本篇讲稿将介绍SAP权限设定的基本概念、目的和步骤，并重点讲解权限的分配与管理。

二、SAP权限设定概述2.1 权限设定的定义权限设定是指企业在使用SAP系统时，根据用户的角色和职责，对其进行功能、数据和业务流程的访问控制。

通过权限设定，可以确保用户只能访问其工作所需的功能和数据，从而保证系统的安全性和数据的完整性。

2.2 权限设定的目的权限设定的主要目的是保护企业数据的安全性和可靠性，防止未经授权的人员访问和操纵企业敏感信息。

同时，权限设定还可以提高工作效率，根据用户的需要提供简化的界面和功能。

三、SAP权限设定步骤权限设定的过程通常包括以下几个步骤：3.1 了解企业需求在进行权限设定之前，需要充分了解企业的业务需求和工作流程。

通过与企业的相关部门和人员进行沟通，明确不同用户角色的职责、工作内容和所需权限。

3.2 角色设计与分配根据企业的需求，设计不同的角色，每个角色对应一组特定的权限。

角色可以根据用户的职位、部门或工作内容来进行分类。

在分配角色时，需要确保角色之间的权限不重叠，也不冲突。

3.3 权限设置在SAP系统中，权限通常以事务码、对象或数据元素的形式存在。

根据角色的设计，设置相应的权限。

权限设定可以通过SAP的访问控制列表（Access Control List，简称ACL）来完成。

3.4 测试和审批在完成权限设定后，需要进行测试和审批。

测试可以确保权限设定的正确性和完整性，审批可以确保权限设定符合企业的规定和要求。

3.5 权限管理和维护权限设定是一个持续的过程，需要进行权限的管理和维护。

根据企业的变化和需求，及时调整和更新权限，确保系统的安全性和高效性。

四、权限设定的要点与注意事项4.1 合理分配权限根据用户的实际工作需要，合理分配权限，避免过高或过低的权限导致的问题。

SAP权限的设定方法什么是SAP权限SAP权限是指在SAP系统中对用户进行授权和访问的权限设置。

通过SAP权限的设定，可以控制用户对系统中不同功能模块、事务和数据的访问和操作权限，保障系统的安全性和数据的保密性。

SAP权限的重要性在企业中，SAP系统通常扮演着关键角色，涵盖了企业的核心业务流程和数据。

因此，对SAP系统的权限进行合理、有序的设定是至关重要的。

合理的SAP权限设定可以实现以下几个方面的目标：1.安全性：通过限制用户对系统中敏感数据和功能模块的访问权限，保障系统的安全性，防止信息泄露和错误操作。

2.合规性：根据企业内部和外部的合规要求，设置用户对特定数据和功能的访问权限，保证企业操作符合法规和规范要求。

3.效率：通过合理设定SAP权限，用户可以仅获得其工作所需的权限，提高工作效率，减少系统资源的浪费。

SAP权限的设定方法1. 权限规划在开始设定SAP权限之前，需要对企业的业务流程、组织结构和工作职责进行深入了解和分析。

然后，制定一个权限规划，包括以下内容：•角色分析：基于企业的组织结构和工作职责，将用户划分为不同的角色，每个角色代表一组拥有相似访问权限的用户。

•访问权限定义：根据企业的业务流程，定义每个角色所需的具体功能模块、事务和数据的访问权限。

•权限层级结构：确定权限的层级结构，确保角色之间的权限关系清晰，并能够适应未来的业务发展。

根据权限规划，开始创建和维护SAP系统中的角色。

角色是一组权限的集合，可以简化权限管理的流程，并降低错误设置的风险。

在创建角色时，需要遵循以下步骤：1.角色创建：通过SAP系统的角色维护工具，在系统中创建新的角色。

为角色命名并定义角色的描述信息。

2.权限分配：为角色分配适当的访问权限，包括功能模块、事务和数据的访问权限。

确保每个角色获得其工作所需的最低权限。

3.审批流程：根据企业内部的权限控制要求，设置角色创建和权限分配的审批流程，确保设定的权限符合企业的合规要求。

SAP权限的几个基本概念：SAP系统权限：某SAP操作用户能在SAP系统中做哪些操作。

比如（大致概念）用户XX-A只能查看物料信息，在SAP系统中就分配事物码MM03给XX-A。

SAP的权限控制是控制到字段级的，换句话说，其权限控制机制可以检查你是否有权限维护某张透明表的某一个字段。

用户（User）：具体操作SAP系统的用户，即登陆SAP Logon输入的用户。

使用事物码SU01创建一个新的用户ID，默认的权限是空白的，不允许任何操作。

单一角色（Single Role）：简单的说就是一个事物码的集合。

其中包含了控制事物码操作的“权限对象”、“权限字段”以及允许的操作及允许的值。

用事物码PFCG维护。

单一角色是相对应复合角色而言的。

复合角色（Comp. Role）：又叫通用角色，即是多个单一角色的集合。

复合角色中可以包含多个单一角色，此复合角色包含了这多个单一角色所控制的权限。

复合角色还可以维护具体的“权限对象”、“权限字段”以及允许的字段值及字段操作。

用事物码PFCG维护。

单一角色和复合角色：单一角色好比“IT部员”，复合角色好比“IT经理”，每个IT部员所操作的权限范围不同，而IT经理可以具备多有部员的权限，IT经理的权限就是多位IT 部员的权限的一个集合，即在IT经理的权限中添加多为IT部员的权限即可。

就是将多个单一角色分配在一个复合角色当中，取并集。

权限对象（Authorization Object），权限字段（Authorization Field），允许的操作（Activity），允许的值（Field Value）角色包含了若干权限对象，在透明表AGR_1250中有存储二者之间的关系；权限对象包含了若干权限字段、允许的操作和允许的值，在透明表AGR_1251中体现了ROLE/Object/Field/Value之间的关系；有一个特殊的权限对象用来包含了若干事务码。

这个权限对象叫“S_TCODE”，该权限对象的权限字段叫“TCD”，该字段允许的值（Field Value）存放的就是事务代码；有一种特殊的权限字段用来表示可以针对该权限对象做哪些操作，是允许创建、修改、显示、删除或者其他呢。

SAP权限设定的方法简介SAP（Systems, Applications, and Products in Data Processing）是一个用于企业资源规划（ERP）的软件系统。

在SAP系统中，权限设定是非常重要的一项任务，它可以控制用户对系统中不同事务和数据的访问权限。

本文将介绍SAP权限设定的方法，帮助读者了解如何正确设置用户权限，确保系统的安全性和合规性。

SAP用户权限的级别在SAP系统中，用户权限分为以下几个级别：1.事务级权限：控制用户对特定事务的访问权限，如创建销售订单、审核付款等。

2.模块级权限：控制用户对特定模块的访问权限，如销售模块、采购模块等。

3.数据级权限：控制用户对特定数据对象的访问权限，如销售订单数据、员工数据等。

4.组织级权限：控制用户对特定组织单元（如公司、部门、项目组）的访问权限。

SAP权限设定的步骤下面将介绍在SAP系统中进行权限设定的基本步骤：步骤一：确定用户角色首先，需要确定每个用户的角色，即其在组织中扮演的角色和职责。

根据用户角色的不同，其所需的权限也会有所区别。

步骤二：创建角色在SAP系统中，需要创建与用户角色相对应的角色。

角色可以通过事务码“PFCG”来创建。

在创建角色时，可以选择预定义的模板，也可以根据需要进行自定义。

步骤三：分配事务和模块权限在创建角色后，需要为角色分配事务和模块的权限。

可以通过事务码“SU01”来进行权限分配。

在分配权限时，可以选择将事务和模块权限直接分配给角色，也可以通过角色分配给用户。

步骤四：定义数据级权限除了事务和模块权限外，还可以定义数据级的权限。

通过事务码“PFCG”，可以在角色中定义哪些数据对象的访问权限是允许的，哪些是禁止的。

步骤五：设置组织级权限最后，还可以设置组织级的权限。

通过事务码“PPOCE”和“PPOC_OLD”，可以进行组织单元的设置和组织单元之间的关系设置。

SAP权限设定的最佳实践在进行SAP权限设定时，需要遵循以下最佳实践：1.权限分离原则：应该根据用户的职责和工作需求，将权限按照粒度进行划分，避免将过多权限授予单个用户。

ERP权限控制在这一节，介绍一下ERP 的权限设计，了解权限设计的逻辑。

一个特别是适合大集团业务的ERP 系统,应该提供一个非常完善的权限控制机制,甚至允许将权限控制字段细到字段级别，举例：Select 用户名From 用户表where 用户名='butcher' （得到用户名）select 权限组ID From 权限表where 用户名='butcher' （得到用户对应的权限组ID ）select * From 权限控制列表where 权限组ID = ‘***** '（得到没个权限组ID 对应的明细权限列表也就是用户的明细权限）在此我们可看到诸如用户名表，角色表，权限组表和对应业务操作的权限详细控制列表诸如此类的表格。

现在来看看ERP的权限设计思路，首先了解下几个Tcode和权限相关表格。

常用权限相关Tcode .（一）Role（角色）相关T-code:PFCG 创建ROLE_CMP 角色比较SUPC 批量建立角色profile（二）建立用户SU01 建立用户SU01D 显示用户SU2|SU3| SU50|SU51|SU52 改变/显示用户个人参数SU10|SU12 批量维护用户SUCOMP 维护用户公司地址SUIM 用户信息系统（强调一下）（三）建立用户组SUGR| SUGRD_NA V 维护用户组SUGRD| SUGR_NAV 显示用户组（四）维护检查授权SU20|SU21 自定义授权字段和授权对象SU53 当出现权限问题可使用它检测未授权对象.SU56: 分析authoraztion data buffers.常用权限相关表格:TOBJ : All avaiable authorization objects.（ERP 系统默认的所有授权对象）USR12: 用户级authorization 值USR02:User Logon Data（包括用户名称密码，是否锁住等字段）USR03:User address dataUSR05:User Master Parameter ID（Tcode SU3可查看用户参数文件的参数ID默认值）USR41:当前用户（即Tcode SM04看到的所有当前活动用户，包括各种对话系统通信类用户）USRBF2 :记录当前用户所有的授权objectsUST04:User Profile master（用户主数据中对应的权限参数文件名）UST10S : Single profiles （授权文件，权限参数和授权对象对应表 ） UST12 : Authorizations （具体授权细节）重点提示：USR02/USRBF2/UST10S/UST1四个表包含的信息就是 ERP 权限控制的关键，前者是用户主数 据表，后三者和用户授权紧密相关。

快速搞定SAP权限设定Sap权限设定方法1.使用su01给用户添加权限1.1打开SAP进入SAP初始化界面,在T-CODE输入栏中输入su01(如图1.1)图1.1:1.2.进入如图1.2的画面,在USER栏里输入你需添加的用户帐号,然后按新建图标. 图1.21.3出现如图1.3的画面,给所要添加的用户输入TITLE和LAST NAME等属性图1.31.4选择LOGON DATA页面,在PASSWORD栏里输入初始化密码(如图1.4)图1.4:1.5选择ROLE页面,在ROLE栏里添加用户的权限(如图1.5)图1.5:1.6输入完毕后,按保存按钮,返回su01功能界面,输入其他的用户,并添加权限(如图1.6)图1.6:2.用pfcg来维护ROLE2.1进入SAP初始化界面,输入T-COLD:pfcg(如图2.1)图2.1:2.2进入如图2.2界面,在ROLE栏中输入你想建立或维护的ROLE 名,按新建按钮2.3进入如图2.3界面,按保存按钮.图2.32.4选择AUTHORIZATIONS页面,按CHANGE AUTHORIZATION DATA按钮(如图2.4)2.5进入如下界面,表中列出所有的分类权限,选择一个你想设定的权限(如图2.5)图2.52.6进入分类设定权限的界面(如图2.6)2.7在表中选择你不想要的权限并把它们设成红色,设完后保存(如图2.7)2.8然后按激活按钮(红白圆形图标),跳出如图2.8窗口,按确定2.9然后返回(如图2.9)2.10选择USER页面,在USER ID栏中输入你想赋予权限的用户帐户名.(图2.10)2.11这样用pfcg维护ROLE就完成了.。

定义用户(User)_全部权限一．说明当SAP系统安装完成，初始的用户(User)只有SAP*和DDIC，而这两个用户是不能进行配置的。

创建具有配置权限的用户，需用SAP*或DDIC登录到指定的Client，创建并赋予SAP_ALL的权限。

维护用户的事物码是SU01，具有创建、复制、修改、删除用户的功能，并能进行解锁及初始化密码。

本示例演示最简单的用户维护过程——创建并赋予SAP_ALL和SAP_NEW的权限。

其中SAP_ALL是全部权限，而SAP_NEW则是新生成对象的全部授权。

与维护一般用户不同，全部权限的用户只需维护参数文件，而一般用户则需要维护角色（参见《定义用户(USER)_指定角色》）。

二．数据说明（R/O列：R必输；O选输。

）表1 示例数据三．操作在前台输入事物码SU01或按图1所示路径进入用户维护的操作。

图1 前台路径图2 初始屏幕图2是用户维护的初台屏幕，按表1输入用户名（”FZDQ”）（此屏幕还可以输入别名Alias）。

输入正确后按回车键或创建按钮（）进入维护细节界面。

图3 地址标签页用户的维护细节由多个标签页组成，本示例只在几个此示例必输的标签页输入数据。

首先在地址标签页（图3）按表1示例输入人员数据（标题、姓、名）。

底部的公司栏显示人员所属公司，并显示地址相关信息,如系统中无公司地址维护则会弹出对话框要求新建一个，此处维护参见《定义公司地址(Company Address)》。

图4 登录数据标签页图4是登录数据标签页，选择用户类型为A(对话型)，SAP设定的用户类型有多种，对话型是最常用的，它需要用户初次登录时修改初始密码。

口令栏输入初始口令及重复口令。

图5 默认标签页图5默认标签页是设定显示的格式，有多个设定项。

本示例只修改小数点、日期、时间格式。

由于产品及版本不同，在不同的SAP系统中此界面会有所不同（如无时间格式）。

图6 参数文件标签页图6是参数文件标签页，本示例的全部权限用户在此标签页输入参数，这与赋予一般用户权限不同，一般用户是在角色标签页输入角色参数。