SAP-HR结构化授权操作说明

建立单一角色和复合角色:PFCG 用户主数据统驭 ,用于用户比较:PFUD 查询簇的权限，特别是读取工资结果时：PFCU，常用到
的簇是：CU，CN，RX
Unit 1 简介
学习本小节目标：
•描述HR模块权限的主要特性 •创建用户和角色
权限种类
一般化权限 结构化权限 两者的关系：
信息类型1的权限，其它同上
Unit2 练习
使用事务码OOAC查看HR授权主开关的含义、功能。查看 该授权开关生效的数值为多少
Unit2 练习
•判断正误： 权限检查中，HR主数据个人号检查一般是可以执行的 •判断正误： 申请人员权限检查可以在HR授权主开关上使之失效。 •判断正误： 人员计划权限检查可以在HR授权主开关上使之失效。 •判断正误： 设定HR事务码权限检查时候，不能手动修改该权限对象。 •回答： 访问payroll结果时，需要使用到HR:簇权限检查么？
Unit3 练习
将用户和职位关联起来的好处？
用户可以直接从对应的职位上继承对应的角色
Unit4 确定职责期间
学习本小节目标：
解释一个用户的职责期间是怎样在一般权限检查中确定的 解释时间逻辑
职责期间和时间逻辑
职责区间： 在一个期间内，一个用户有权限访问一个信息类型或信息类型
和子信息类型的组合.但是这个期间不能单独确定访问权限 是否允许，它会受到时间逻辑的约束： 时间逻辑 时间逻辑处理以下因素来决定访问是否允许或拒绝： 1.用户的职责期间 2.所需的访问方式（只读或可写） 3.数据记录的有效期间
Unit3 间接角色分配
学习本小节目标：
•通过组织管理间接分配角色 •比较间接分配的角色
组织管理中的权限
组织管理中的权限检查会遇到这样的问题： •大的实施项目中，直接维护权限分配非常费时 •如果一个用户在公司中更换了部门或者功能，你需要调整 他们的权限

1.权限架构1.1.sap user account：address ，logon data ，group . 即帐户—User ID1.2.role template：description ，menu ，authorizations. Role-职能，是user需要的权限归于一个集合，分为single role 和composite role1.3.authorizations profile：object class ，authorization object ，authorizations. Profile是真正记录权限设定的文件1.4.例外权限：当一个user需要职位所需的权限之外的特殊权限即为例外权限2.Role 命名和分类2.1.G开头的template role ，不直接assign 给User IDG+职能名称--------------全球共同template roleG+职能名称-1------------地区template role2.2.Z开头的User role ，直接assign 给User idZ+ user id +职能名称-------------继承全球共同template roleZ+user id +职能名称-1-----------继承地区template roleZ+user id +exception ----------没有继承任何role-例外权限2.3.Y开头的Basic role，直接assign 给user idY+职能名称----------------------全球basic role2.4.例：AR作业人员CO-AR 职能英文名称G+CO-AR 全球共同template roleG+CO-AR-1 地区template roleY+CO-AR 全球共同basic role2.5.全球共同template role 是指此职能在全球任何地区都一致的那部分权限的模板，命名特征是以G+开头，非-1 结尾2.6.地区template role 是指此职能根据不同地区而不同的那部分权限的模板，命名特征是G+开头，-1 结尾er role 是根据每个user的具体需求进行设定的权限的role，命名特征是：Z+ USER ID开头W+USER ID 开头2.8.全球共同basis role 是指此职能关系到整个系统的安全的那部分权限的role，命名特征是Y+开头ER ID的建立3.1.TCODE：SU01User处输入要创建的User ID点击新建按钮3.2.address标签中“last name”添加跟user id中一样的；fist name填写人名；language：EN English3.3.Logon data标签：设置初始密码；User group for authorization check处设定组别，此处非常重要；有效期一般不添3.4.Defaults标签：3.5.保存后user id已经建立完成，但是此时的id并没有任何的权限的，所以必须assign一个role给这个账号4.Role 的建立4.1.TCODE：PFCG 假设为一个账号fortest申请例外权限VA01和YF304.2.输入role name：Z+FORTEST+EXCEPTION；点击新建按钮4.3.进入description标签，在description中填写与role name一样的描述4.4.进入menu标签，其中按钮transaction为手动添加tcode；按钮from sapMenu为从sap menu中增加tcode；按钮from other role为从其他role中copy menu4.5.建立目录role menu→exception→standardk/add on4.6.建立目录之后可以添加内容进去，两种方法如4.4中描述4.7.添加好菜单之后进入authorizations标签，点击change authorization data按钮并保存4.8.5.Role 继承6.Role 复制7.Role 修改8.Role 新增.删除tcode9.Role 从其它导入10.Role adjust11.Role 传输。

一、传统的权限分配方案1、通用权限角色和结构化授权参数文件是直接分配给SAP用户（User）；2、权限管理员完成通用角色的定义后派生出本地角色，再把本地角色分配给SAP用户；3、顾问或者内部顾问在系统后台配置表定义构化授权参数文件并在把构化授权参数文件分配给用户；3、可以根据角色的命名规则和用户分组分配给不同单位的权限管理员的授权。

优点是：1）传统SAP权限管理方法，企业BASIS人员已经熟练掌握角色分配等操作，面对大批量的用户和本地角色时，易于推广；2345121（C）、2341作，不需要IT人员做配置处理；2）员工调动、岗位变动后直接按岗位职责分配相应的权限，不需要再单独申请权限变动，大大减少权限维护和调整的日常工作量。

3）HR系统用户，其员工数据中需要记录其系统用户名，系统自动生成其权限分配。

缺点是:SAP HR 的参数文件分配界面是一个一个岗位分配且标准授权参数文件和结构化授权参数文件是不同的分配界面，使用不方便，且权限互斥检查是事后检查，不能在分配时同步检查；建议：开发一个参数文件到岗位的批量分配界面，可以对多岗位同时分配标准授权参数文件和结构化授权参数文件，可以随时检查权限互斥并在存盘时自动检查权限互斥。

三、应用效果1、可以大大减轻权限管理和日常维护的工作量，将权限运维的后台工作比部分变为前台的主数据维护；权限分配给用户不再需要BASIS人员支持。

但角色的定义和授权参数文件的生产仍需要BASIS人员通过事务码PFCG完成。

2、人力资源部门的员工入职和岗位变动后自动获得所任岗位分配的系统权限，无需再单独申请，也不需要系统的设置/配置处理，符合业务习惯，简化工作流程，减轻权限维护工作量。

与锁标识有关的授权级别。
2.3 权限配置调整流程 角色调整-角色授权级别调整
➢ 对维护数据记录的账号，需分配授权级别带有E和S的角色。
➢ 对审核数据记录的账号，需分配授权级别带有D的角色，或直接将角色的授权级别设 为“*”。
2.4 权限相关账号及用途
权限管理员账号
权限系统配置账号 用户管理员账号
系统 演示
例：本地角色HR_4006_PY_SALARY_PROCS_0001由通用角色 HR_PY_SALARY_PROCS_BS派生得到。
使用权限系统配置账号登录 DH3-500 系统后，进行本地角色派生：
➢ 输入事务代码PFCG
➢ 在“Rolle”栏输入需要被派生的通用角色，点击 “复制”按钮，然后在弹出框的 “到角色”栏中，输入要派生的本地角色名，最后点击“复制所有”按钮
注：在发送传输申请邮件前，请确保已修改的角色完成激活，并退出角色修改状态。
2.3 权限配置调整流程
角色派生
通用角色分两种，一种是以HR_COM开头的角色，另一种不是以HR_COM开头的角 色；前者可以直接分配给账号使用，后者必须通过角色派生，并由总部传输后才能 分配给账号使用。
由通用角色派生得到的本地角色的命名规则如下： HR+人事范围+模块简称+角色简称+人事子范围。
注：一个机构节点只对应一个结构化参数文件。对于一个结构化参数文件对应多个组 织机构节点，请提供一个结构化参数文件文本描述。 ➢ 用户与授权参数文件对应关系表 在用户与授权参数文件对应关系表中，用户须填写用户姓名、系统用户及参数文件代码。
2.3 权限配置调整流程 新增用户-新上线企业
➢ 用户与角色对应关系表 在用户与角色对应关系表中，用户须填写单位、用户姓名、系统用户及这个账号所