SAP权限设置说明

SAP的权限设计思路，首先了解下几个Tcode和权限相关表格。 常用权限相关Tcode .

(一)Role(角色)相关T-code: PFCG 创建

ROLE_CMP 角色比较

SUPC 批量建立角色profile (二)建立用户

SU01 建立用户 SU01D 显示用户

SU2|SU3| SU50|SU51|SU52 改变/显示用户个人参数 SU10|SU12 批量维护用户 SUCOMP维护用户公司地址

SUIM 用户信息系统（强调一下） (三)建立用户组

SUGR| SUGRD_NAV 维护用户组 SUGRD| SUGR_NAV 显示用户组 (四)维护检查授权

SU20|SU21自定义授权字段和授权对象

SU53 当出现权限问题可使用它检测未授权对象. SU56:分析authoraztion data buffers. 常用权限相关表格:

TOBJ : All avaiable authorization objects.(ERP系统默认的所有授权对象) USR12: 用户级authorization值

USR02:User Logon Data(包括用户名称密码,是否锁住等字段) USR03:User address

浅谈SAP权限管理

——基于安徽电力权限设计

SAP R/3 系统是基于ERP（企业资源计划）技术的一个成熟产品，在国内外大中企业中广为使用。该系统主要包括财务管理、物资管理、项目管理、人力资源等多个功能模块。其中，权限ERP初上线时，企业比较注重系统的流程设计、系统的稳定运行，而对权限设计不够重视。并且绝大多数权限设计是在系统建设时期，一方面由于当时对SAP权限管理缺乏全局意识，另一方面建设人员对于实际业务没有充分的认识，因此设计的权限难免会存在问题和风险。本文将结合安徽电力SAP权限设计来阐述权限设计常存在的问题及解决方案。

一、 企业用户权限存在问题

（1） 没有一套清晰明确的授权规则。

企业用户量比较大，随着系统应用的深入，各种功能增加，用户都要求给自己增加权限。这样对于权限管理人员来说，面对大量的申请似乎并不能找到一个明确的标准。于是部门主管审批便成了一个最为有效的解决方案；

（2）用户权限有被逐渐放大甚至失控的危险。

SAP系统内的权限管理是以“角色”这一概念展开的，一个“角色”上分配了体现功能权限的一组功能事务码（T-Code）和体现限制的授权参数文件（profile）。假如，在 SAP 系统中给每位用户

在SAP HANA中创建一个新用户一般需要赋予的权限 SAP HANA的用户与安全管理有ROLE，System Privilege, Object Privilege, Analytic Privilege, Package Privilege, Application Privilege，初看起来比SAP IQ/ASE复杂一些，让人摸不着北。最常用的情况是，当你新创建一个SAP HANA用户，然后如何让这个新的SAP HANA用户具有在HANA中建模、导入、导出模型对象等基本的权限呢。且看下面的脚本，供参考: --Package

GRANT REPO.READ on \

GRANT REPO.ACTIVATE_NATIVE_OBJECTS on \ GRANT REPO.MAINTAIN_NATIVE_PACKAGES on \ GRANT REPO.EDIT_NATIVE_OBJECTS on \

--上面对根目录的授权允许用户在根目录下进行增删改操作。 --如果让新的用户只具有某个Package的读写权限，而看不到其他人的Package信息，你可以不使用上面的授权，---而使用下面的脚本对某个特定Package

第五章：NTFS权限

实验背景

某公司网络环境为域，公司要求所有员工把重要的文件放置到文件服务器上。文件服务器的要求创建以下结构

销售部 工程部 财务部 行政部 人事部 公共资料 小李专用 财务经理专用 小赵专用 会计小王专用

实验目标

1 以域管理员身份在文件服务器上按照如上结构创建相关文件夹。保证 每个部门的员工只能访问到自己文件夹的内容，例如销售部小李可以读取销售部文件夹小李专用内容，但却无法读工程部文件夹的内容。

每个部门的员工都可以在自己文件夹下创建任何新文件和文件夹，并能重命名为我的日报告 可以读取本部门其他用户的文件夹内容，但不能修改，不可以删除已经创建了的文件 所有部门员工都可以访问公共资料文件夹，在公共资料文件下，同样不可以删除文件。 财务经理专用子文件夹只有财务经理可以访问，并在其中创建文件，其他任何用户帐号不可访问

会计小王专用子文件夹只有会计小王可以访问，并在其中创建文件，其他任何用户帐号不可访问

2公司财务部的会计小王离职，网络管理员删除了他的用户帐号，不久发现文件服务器上某些重要文件连管理员帐号都没有NTFS权限。网络管理员如何能访问该文件夹

共享管理和权限设置

共享管理：实验环境还是在虚拟机上实验，实验需求是为了网络安全使我们的共享资源实验可控性，

第一步，我们用管理员登录，然后在桌面右击“我的电脑”选择管理，在里面我们找到共享文件夹，如图1所示，这个画面我们已经打开过很多次了，我们点击共享文件夹下的共享选项，看到如图所示的画面，在共享里面有很多共享文件夹，我们看后面 的说明，就知道有些是系统默认的开机就会打开，比如C盘，这是很危险的。所以我们要想办法让他们关闭，下面我们就开始关闭这些不安全的因素。

图1

第二步，我们右击其中一个，弹出如图2所示的画面，我们选择停止共享。然后会弹出如图3所示的画面，我们选择是。(注意：这里说明了，我们停止后当再次启动计算机的时候，这些共享会再次出现)

图2

图3

然后我们照此步骤把所有共享停止，当我们停止到IPC的时候就会弹出如图4所示，因我们的计算机是连接网络的所以此项不可删除。

图4

到此，我们应该清楚共享管理目的，如果我们问这样每次都这样操作会麻烦的话，我们可以编写一个批处理如图5-1所示，然后我们把它放到启动项里如图5-2所示，重启计算机

权限设定操作手册

权限维护

2008-9-3

1.注意

1.1.用户、角色、事务代码、授权对象的关系

?用户：由几个角色组成

?角色：由一系列事务代码搭建

?事务代码：需要系统规定的必要授权对象才能运行

?授权对象：由它的参数来定义

1.2.权限设定须谨慎

?权限设定非常重要，并且权限的排错查询非常繁琐、耗时，因此在做权限设定时一定要谨慎，每次更改都要记录。

1.3.测试环境下修改

?除非特殊情况，权限设定不允许在正式环境直接更改。

?一般都是在测试环境修改、测试成功后，再传到正式环境。

1.4.拒绝不合理权限要求

?Basis不是决定用户权限范围的人，而是实际管理中大大小小业务流的管理者。

?所以，变更权限设定，务必要求用户提供经过领导签核的申请表。

?对于用户不合理的权限要求，顾问有责任拒绝。

2.角色维护

2.1.作业说明

?基本

由权限的大架构有User ID（用户），Role（角色），Profile（权限参数文件）三层，可知权限的设定也会有相应的三层。

?目的

SAP中的权限管理可以通过建立若干角色的方式进行，角色的定义为SAP中单个或者多个事务代码（T-Code）组成的一个角色定位。

角色是指在业务中事先定义的执行特殊职能的工作。

可以为单个的用户的需求去创建角色，也可以通过事务

SAP移动类型设置！(2009-07-26 00:16:33) 标签：杂谈

分类：SAP

别人喜欢浅谈XXXX，而我在谈SAP的时候，喜欢用浅整。大部分人说你做什么的，广东人喜欢你搞什么的，而我喜欢说你整什么的。说起WM移动类型，可能有人都没有听说过，而初学WM模块的菜鸟们，可能也是一知半解，当然我跟你吹说WM都被我整死了，WM移动类型又何足挂齿，那都是在忽悠你的。不过我可以带着你来整整，看看它研究能被整成个啥样。

SAP系统中的货物移动是由移动类型控制的，移动类型是用3位数的数值代码(3

位数字或字母数据组合)来表示的，用来区分不同的货物移动。SAP系统除了有I

M库存管理移动类型外，还有WM仓库管理移动类型。下面，我主要来谈WM移

动类型以及它和IM移动类型之间的联系。 IM移动类型

IM移动类型主要用来控制MM的库存数量更新、库存变化引起的价值更新，以

及输入移动凭证时的字段显示等。它在MM-FI接口的自动过帐中起到决定性的作用。主要分为入库、转储(库存转储和转储记帐)、出库三种形式。

相关的设置，可通过事务OMJJ来访问，这里将不详述，有兴趣的可以参照MM有关移动类型的相关帮忙，你可以在我的博客或ITPUB上找到一些资料。 值得一提的是，

XenApp本地磁盘映射权限设置方法： 1:登陆XenApp控制中心-->Citrix AppCenter. 2:选择策略->用户

3:因默认的策略不带过滤器。请新建立一条新的用户策略。一直按下一步创建完成。

4：配置策略 策略要求：禁止所有用户映射本地盘符，除了特定的用户或者组可以映射并使用本地磁盘。 （1）选中默认策略Unfiltered，点击“编辑”->设置->文件重定向->客户端固定驱动器-禁止

客户端固定驱动器-禁止（备注：禁止全局所有用户的磁盘映射。）

如图，用户打开发布的IE。将WEB另存为时，看不到本地磁盘符：

（2）选中新建的策略点击“编辑”->设置->文件重定向->客户端固定驱动器-允许 备注：此策略允许指定的用户能够映射本地盘符

（3）选择过滤器-将这个允许的策略应用到用户或者是组即可。

（4）将新建的策略优先级提高为1。

（5）如图打开发布的IE，将WEB另存为，则可以看到映射上来的本地磁盘

SAP FI/CO 模块设置（上篇）

1. 一般设置—货币—定义货币换算的换算率

增加换算率：M(标准兑换)-EUR(欧元)-RMB(人民币)-比率 2. 一般设置—货币—输入汇率

增加汇率：M(标准兑换)-从EUR-到RMB-直接报价-开始生效日期 3. 企业结构—定义—财务会计—定义公司

维护公司名称、详细信息(地址、语言、国家、货币) 4. 企业结构—定义—财务会计—定义信贷控制范围 建立维护信贷控制范围，

5. 企业结构—定义—财务会计—定义、复制、删除，检查公司代码—复制，删除，检查公司代码拷贝建立一个公司代码，删除现有的公司代码，检查公司代码的一致性

6. 企业结构—定义—财务会计—定义、复制、删除，检查公司代码—编辑公司代码数据维护公司代码的名称、城市、国家、货币、语言

7. 企业结构—分配—财务会计—给信贷控制区分配公司代码 为公司代码指定一个已经定义的信贷控制范围

8. 财务会计—总帐会计—总帐科目—主记录—准备—编辑科目表清单 新建或拷贝会计科目表，维护科目表说明、语言、成本控制集成

9. 财务会计—总帐会计—总帐科目—主记录—准备—给科目表分配公司代码 为公司代码指定一个已经定义的科目表

10. 财务会计—总帐会计—总帐

SAP FI/CO 模块设置（上篇）

1. 一般设置—货币—定义货币换算的换算率

增加换算率：M(标准兑换)-EUR(欧元)-RMB(人民币)-比率 2. 一般设置—货币—输入汇率

增加汇率：M(标准兑换)-从EUR-到RMB-直接报价-开始生效日期 3. 企业结构—定义—财务会计—定义公司

维护公司名称、详细信息(地址、语言、国家、货币) 4. 企业结构—定义—财务会计—定义信贷控制范围 建立维护信贷控制范围，

5. 企业结构—定义—财务会计—定义、复制、删除，检查公司代码—复制，删除，检查公司代码拷贝建立一个公司代码，删除现有的公司代码，检查公司代码的一致性

6. 企业结构—定义—财务会计—定义、复制、删除，检查公司代码—编辑公司代码数据维护公司代码的名称、城市、国家、货币、语言

7. 企业结构—分配—财务会计—给信贷控制区分配公司代码 为公司代码指定一个已经定义的信贷控制范围

8. 财务会计—总帐会计—总帐科目—主记录—准备—编辑科目表清单 新建或拷贝会计科目表，维护科目表说明、语言、成本控制集成

9. 财务会计—总帐会计—总帐科目—主记录—准备—给科目表分配公司代码 为公司代码指定一个已经定义的科目表

10. 财务会计—总帐会计—总帐