1、中國石油ERP系統(tǒng)權(quán)限培訓(xùn)文檔中國石油ERP系統(tǒng)實(shí)施項(xiàng)目2009年3月26日日期Date:目錄二、SAP權(quán)限的架架構(gòu)三、權(quán)限的基基本概念念四、用戶和角角色的創(chuàng)創(chuàng)建及命命名規(guī)則則五、權(quán)限設(shè)置置的步驟驟六、權(quán)限實(shí)施施計(jì)劃表表一、權(quán)限限的重要要性權(quán)限的重重要性權(quán)限本身身的重要要性在SAP系統(tǒng)中，業(yè)務(wù)人人員是否否能夠行行使該業(yè)業(yè)務(wù)范圍圍的操作作是由權(quán)權(quán)限來實(shí)實(shí)現(xiàn)的。權(quán)限工作作的好壞壞是系統(tǒng)統(tǒng)能否成成功上線線的基礎(chǔ)礎(chǔ)之一。最終用戶戶是權(quán)限限的直接接使用者者，權(quán)限限設(shè)計(jì)的的好壞會(huì)會(huì)直接影影響到最最終用戶戶對使用用ERP系統(tǒng)的信信心。權(quán)限的重重要性權(quán)限實(shí)施施工作的的重要性性權(quán)限實(shí)施施是ERP系統(tǒng)上線線的必備

2、備條件之之一，權(quán)權(quán)限設(shè)計(jì)計(jì)的合理理性、實(shí)實(shí)施的準(zhǔn)準(zhǔn)確性和和測試的的精準(zhǔn)度度是系統(tǒng)統(tǒng)能否成成功上線線的基礎(chǔ)礎(chǔ)之一。在權(quán)限設(shè)設(shè)計(jì)、實(shí)實(shí)施和測測試全過過程，由由于地區(qū)區(qū)公司人人員最了了解其自自身業(yè)務(wù)務(wù)，因此此由地區(qū)公司司權(quán)限組組全程參與與權(quán)限設(shè)設(shè)計(jì)和實(shí)實(shí)施工作作，將從從ERP技術(shù)角度度和地區(qū)區(qū)公司業(yè)業(yè)務(wù)角度度雙重保保障權(quán)限限實(shí)施的的質(zhì)量，進(jìn)而保保證ERP項(xiàng)目的順順利上線線。項(xiàng)目準(zhǔn)備藍(lán)圖設(shè)計(jì)系統(tǒng)實(shí)現(xiàn)權(quán)限設(shè)計(jì)、實(shí)施、測試最后準(zhǔn)備上線支持權(quán)限的重重要性權(quán)限運(yùn)維維工作的的重要性性在項(xiàng)目上上線及運(yùn)運(yùn)維階段段，系統(tǒng)統(tǒng)處于穩(wěn)穩(wěn)定運(yùn)行行狀態(tài)，權(quán)限變變更安全全合理才才能防止止越權(quán)和和誤操作作發(fā)生，從而保保證系統(tǒng)統(tǒng)數(shù)據(jù)

3、安安全。通過ERP項(xiàng)目權(quán)限限組和地區(qū)公司司權(quán)限組組在權(quán)限設(shè)設(shè)計(jì)實(shí)施施期間的的相互配配合，提提高了地區(qū)公司司權(quán)限組組的問題處處理能力力，將在在項(xiàng)目進(jìn)進(jìn)入上線線支持及及運(yùn)維期期后，有有效保證證了權(quán)限限變更工工作的順順利進(jìn)行行。項(xiàng)目準(zhǔn)備藍(lán)圖設(shè)計(jì)系統(tǒng)實(shí)現(xiàn)上線支持 運(yùn)維最后準(zhǔn)備上線支持5日期Date:目錄一、權(quán)限限的重要要性 三、權(quán)限的基基本概念念四、用戶和角角色的創(chuàng)創(chuàng)建及命命名規(guī)則則五、權(quán)限實(shí)施施中注意意要點(diǎn)六、權(quán)限工作作計(jì)劃二、SAP權(quán)限的架架構(gòu)SAP權(quán)限的架架構(gòu)SAPUserID-地址-登錄數(shù)據(jù)據(jù)-組. . . . .分配Role-描述-菜單-權(quán)限分配Bind withAuthorization

4、profile-組織級別別值-權(quán)限對象象-用戶.日期Date:目錄一、權(quán)限限的重要要性二、SAP權(quán)限的架架構(gòu) 四、用戶和角角色的創(chuàng)創(chuàng)建及命命名規(guī)則則五、權(quán)限實(shí)施施中注意意要點(diǎn)六、權(quán)限工作作計(jì)劃三、權(quán)限限的基本本概念權(quán)限的基基本概念念名詞解釋釋：User account就是我們們平常說說 “USER ID”(注意用戶戶類型）dialog用戶、權(quán)限：它允許或或禁止用用戶在系系統(tǒng)中進(jìn)進(jìn)行操作作和處理理事務(wù)，一般以以角色分分配給用用戶角色（Role）權(quán)限的集集合，基基于業(yè)務(wù)務(wù)要求創(chuàng)創(chuàng)建所謂的“角色” 是是sap4.0才開始有有的概念念其實(shí)實(shí)就是對對user的需求進(jìn)進(jìn)行歸類類使權(quán)限的的設(shè)定更更方便。分為

5、singlerole和compositerole兩種后者其實(shí)實(shí)是前者者的集合合Profile:真正記錄錄權(quán)限的的設(shè)定的的文件,和角色綁綁定在一一起，一一個(gè)角色色生成一一個(gè)PROFILE權(quán)限對象象：被授權(quán)的的業(yè)務(wù)對對象，由由字段值值和參數(shù)數(shù)組成日期Date:SPEX SAPR/3ProjectVersion 1.0Authorization Concept授權(quán)就是給個(gè)人（或組）一個(gè)方式或權(quán)力來行使一些特殊的職責(zé)用SAP的語言來來說.它允許或禁止用戶在系統(tǒng)中進(jìn)行操作和處理事務(wù)權(quán)限的概概念授授權(quán)權(quán)限的概概念授授權(quán)對象象授權(quán)對象象=運(yùn)行事務(wù)務(wù)的權(quán)限=沒有 授權(quán)對象沒有事務(wù)權(quán)限日期Date:SPEX S

6、APR/3ProjectVersion 1.0Authorization Concept進(jìn)入一個(gè)個(gè)SAP事務(wù)代碼碼就好象. 從一扇 門 進(jìn)入一個(gè)房間Transaction授權(quán)對象 就是開門的 鑰匙授權(quán)對象權(quán)限的概概念授授權(quán)對象象日期Date:SPEX SAPR/3ProjectVersion 1.0Authorization Concept即使只缺少一一個(gè)對象象，用戶都都不能夠運(yùn)行事務(wù)務(wù)代碼運(yùn)行事務(wù)代碼需要先具備所有的授權(quán)對象! (即整套鑰匙)授權(quán)對象1授權(quán)對象2授權(quán)對象3授權(quán)對象4授權(quán)對象5權(quán)限的概概念授授權(quán)對象象日期Date:授權(quán)級別別圖用戶是由由幾個(gè)角角色組成成的角色下包包括一些些事務(wù)代

7、代碼角色下包包括的事事務(wù)代碼碼權(quán)限的概概念授授權(quán)ProfileProfile:真正記錄錄權(quán)限設(shè)設(shè)定的文文件Profile與Role是捆綁在在一起的的。在建立Role的時(shí)候 Profile是會(huì)自動(dòng)動(dòng)創(chuàng)建的的，（有有弊端），我們們根據(jù)每每個(gè)項(xiàng)目目每個(gè)模模塊的不不同，根根據(jù)需求求表對每每個(gè)角色色定義一一個(gè)profile。Authorization ProfileObjectclass權(quán)限對象象（Authorization object）參 數(shù)權(quán)限的概概念權(quán)權(quán)限對象象業(yè)務(wù)、崗崗位及用用戶之間間的關(guān)系系用戶：基于業(yè)務(wù)務(wù)要求而而賦予崗崗位相適適合的角角色，用用戶和角角色一對對多的關(guān)關(guān)系角色：執(zhí)執(zhí)行相關(guān)關(guān)業(yè)

8、務(wù)所所需要的的權(quán)限集集合。業(yè)務(wù)關(guān)鍵點(diǎn)業(yè)務(wù)關(guān)鍵點(diǎn)業(yè)務(wù)關(guān)鍵點(diǎn)角色A角色B角色C用戶1用戶2業(yè)務(wù)流程程崗 位用 戶日期Date:目錄一、權(quán)權(quán)限的重重要性二、SAP權(quán)限的基基本架構(gòu)構(gòu)三、權(quán)權(quán)限的基基本概念念 五、權(quán)權(quán)限實(shí)施施中注意意要點(diǎn)六、權(quán)權(quán)限工作作計(jì)劃四、用用戶和和角色的的創(chuàng)建及及命名規(guī)規(guī)則日期Date:USERID的命名規(guī)規(guī)則SAP系統(tǒng)分為為門戶和和后臺兩兩類系統(tǒng)統(tǒng)，后臺臺系統(tǒng)包包括ECC和BI系統(tǒng)。在在所有SAP系統(tǒng)中，同一用用戶的ID是唯一的的，用戶戶ID最長不超超過12位。ERP用戶ID以中石油油郵箱用用戶名為為準(zhǔn)，若若超過12位，按如如下方法法進(jìn)行處處理：如如果沒有有郵件地地址，必必須申

9、請請一個(gè)少于11位的郵箱箱地址。有郵件地地址的用用戶，取取郵件地地址的用用戶名為為用戶ID；如果用用戶名超超過11位，應(yīng)另另外申請請一個(gè)少少于11位的郵箱箱地址；舉例如下下：正常用戶戶名：，ID：ZHANGXING超長用戶戶名：zhangxingyuancnpc.，重新申申請：ZHANGXINGY注：保留一一位是為為區(qū)分CNPC和PetroChina不同郵箱箱，如果果產(chǎn)生沖沖突，則則在用戶戶名前加加前綴，集團(tuán)ERP用戶ID前加前綴綴V，股份ERP用戶ID前加前綴綴U。舉例如下下：CNPC：zhangxin，ID：VZHANGXINGPetroChina：，ID：UZHANGXING日期Date

10、:相關(guān)事務(wù)務(wù)代碼SU01用戶維護(hù)護(hù)PFCG職責(zé)維護(hù)護(hù)SU24維護(hù)事務(wù)務(wù)權(quán)限對對象的分分配SU3維護(hù)用戶戶參數(shù)文文件SU53顯示用戶戶的權(quán)限限數(shù)據(jù)SUGR維護(hù)用戶戶組SUIM用戶信息息系統(tǒng)SU10帳號批維維護(hù)日期Date:USERID的建立T_codeSU01SU01SU01日期Date:USERID的建立輸入要?jiǎng)?chuàng)建的User ID1單擊建立圖標(biāo)2USERID的建立選擇“對對話”類類型設(shè)定初始始密碼用戶組選選擇此用用戶對應(yīng)應(yīng)的組，地區(qū)二二級管理理員管理理日期Date:USERID的建立填好這些些字段注：1.通訊方法法選擇：INTE-mail2.如果輸入入座機(jī)號號，分機(jī)機(jī)號必須須填寫00USERI

11、D的建立這些都是是必填項(xiàng)項(xiàng)USERID的建立用戶組最最好跟前前面設(shè)置置的一樣樣，這個(gè)個(gè)用戶組組是總部部技術(shù)組組管理用用戶用的的USERID的建立USER ID創(chuàng)建好了了但這時(shí)這這個(gè)ID沒有賦予予(Assign)任何權(quán)限限是什么都都不能做做的。USER得到這樣樣的帳號號沒有任任何意義義。如何Assign權(quán)限給一一個(gè)帳號號主要就是是Assign一個(gè)Role給這個(gè)帳帳號了。下面我我們看看看如何建建Role和給權(quán)限限。點(diǎn)擊SAVE，這個(gè)用用戶就創(chuàng)創(chuàng)建好了了帳號的批批維護(hù)有時(shí)我們們需要對對賬戶進(jìn)進(jìn)行批量量維護(hù),例如：當(dāng)公司地地址變了了，需要要變更所所有用戶戶的公司司地址。月結(jié)時(shí)，需要將將除了月月結(jié)人員員

12、外，其其它的所所有用戶戶暫時(shí)鎖鎖定。T_CODE：SU10帳號的批批維護(hù)全選用戶戶后，點(diǎn)點(diǎn)擊transfer可以批量量修改“新疆油油田咨詢詢顧問”的前臺臺信息，包括添添加角色色、鎖定定用戶等等創(chuàng)建用戶戶組T_CODE：SUGR例如：創(chuàng)建勘探探與生產(chǎn)產(chǎn)項(xiàng)目新新疆油田田咨詢顧顧問用戶戶組EXJYTZZYH業(yè)務(wù)板塊塊縮寫項(xiàng)目名稱稱縮寫最終用戶戶用戶組命命名規(guī)規(guī)則ROLE的建立T_CODE：PFCGROLE的建立創(chuàng)建Role主要有三三種方式式：1.新建2.繼承3.復(fù)制（COPY） ROLE的命名根角色的的創(chuàng)建輸入role的角色記錄此Role的創(chuàng)建者者描述須能表示示Role的內(nèi)容及及屬性根角色的的創(chuàng)建點(diǎn)

13、擊“事事務(wù)”添添加tcode按照profile命名規(guī)則則進(jìn)行命命名根角色的的創(chuàng)建標(biāo)準(zhǔn)T code所需要的的Object,系統(tǒng)會(huì)自自動(dòng)帶出出來OBJECT完全沒有有給值OBJECT只有部分分給值OBJECT已經(jīng)全部部有值請注意綠燈只是是表示全全部有值值而已但不一定定就是我我們所需需要的值值根角色的的創(chuàng)建根角色的的創(chuàng)建在這里介介紹一下下的作用點(diǎn)擊它就相當(dāng)于于給這個(gè)個(gè)Object一個(gè)“*”(star)“*”的意義是是AllAuthorization不卡任何何權(quán)限。根角色的的創(chuàng)建然后按激激活，退出已經(jīng)變成成綠燈這表示權(quán)權(quán)限的設(shè)設(shè)定已經(jīng)經(jīng)可用了了點(diǎn)擊，再點(diǎn)擊擊此權(quán)限已已經(jīng)分配配完畢，test001這個(gè)帳

14、號號已經(jīng)具具有了主主數(shù)據(jù)維維護(hù)的權(quán)權(quán)限派生角色色的定義義所謂派生角色色,是指根Role和派生Role形成這樣樣的母子子關(guān)系派生Role的所有權(quán)限、權(quán)權(quán)限對象象（組織級別別值除外)都源于根Role,并與根Role保持一致致。根Role與派生Role是1對多的。根角色與與派生角角色之間間的關(guān)系系公司組織機(jī)構(gòu)構(gòu)地區(qū)公司司1地區(qū)公司司3員工1地區(qū)公司司2根角色A角色子角色A1子角色A3地區(qū)公司1子角色A2地區(qū)公司2地區(qū)公司3子角色B1子角色B3地區(qū)公司1子角色B2地區(qū)公司2地區(qū)公司3根角色B根角色C根據(jù)根據(jù)據(jù)崗位分分配按限制范圍派生出不同的子角色員工2員工3員工1員工2員工3員工1員工2員工3派生角色

15、色的創(chuàng)建建根據(jù)公司司代碼派派生的，創(chuàng)建好好后點(diǎn)擊擊“創(chuàng)建角色色”組織級別別代碼字字典表派生角色色的創(chuàng)建建角色繼承承就是通通過這派生角色色的創(chuàng)建建這時(shí)候的的派生角角色還沒沒有完全全繼承，要返回回根角色色里點(diǎn)擊擊生生成成派生角角色這時(shí)候一一個(gè)派生生角色就就創(chuàng)建完完成了角色的復(fù)復(fù)制輸入角色色，點(diǎn)擊擊copy復(fù)制角色色這時(shí)候一一個(gè)角色色就復(fù)制制完成了了角色的創(chuàng)創(chuàng)建-繼承與復(fù)復(fù)制小結(jié)用繼承的的方式建建立新Role,繼承后只需維護(hù)好組組織級別別Object就全部是是綠燈了了。用復(fù)制的的方式全部是綠綠燈。這是兩者者操作上的最大大特點(diǎn)。角色的修修改對Role的修改最最常見的的就是T Code的新增/刪除，這這

16、種改動(dòng)動(dòng)一般是從從菜單開開始。添加VF01（創(chuàng)建客客戶發(fā)票票）角色的修修改角色的修修改當(dāng)Role所包含的的TCode經(jīng)過多次次修改后后可能產(chǎn)生生多個(gè)同同樣的Object其Value可能互相相包含。這時(shí)可以以通過合合并的動(dòng)動(dòng)作使同同一個(gè)Object內(nèi)Value相同或者者互相包包含的Item合并起來來使權(quán)限的的條目更更清晰Debug/查看有一些工工具對權(quán)權(quán)限的問問題處理理很有幫幫助1.SU532.SUIM3.SU24Debug/查看-SU53當(dāng)一個(gè)帳帳號反映映沒有某某個(gè)應(yīng)有有的權(quán)限限時(shí)我們可以以在系統(tǒng)統(tǒng)出現(xiàn)沒沒有權(quán)限限的信息息時(shí)馬上輸入入“/NSU53” Debug/查看-SU53但是請注注意SU

17、53給出的信信息并不不詳細(xì)大部分情情況只能能作為一一個(gè)大方方向的參參考有時(shí)還可可能指示示不出來來問題所所在。Debug/查看-SUIMSUIM其實(shí)就是是Information系統(tǒng)的一一個(gè)集合合界面。我們最常常用的功功能是已知某個(gè)個(gè)TCode查找含有有這個(gè)T Code的Role。Debug/查看-SU24查看XD01檢查哪些些權(quán)限對對象Debug/查看-SU24查看F_KNA1_BED檢查哪些些Tcode日期Date:幾點(diǎn)需要要注意的的地方權(quán)限設(shè)定定非常重重要而而且一旦旦有問題題，排錯(cuò)錯(cuò)非常繁繁瑣、耗耗時(shí),所所以請大大家設(shè)定定時(shí)一定定要非常常謹(jǐn)慎,每次更更改都要要記錄。權(quán)限設(shè)定定除非特特殊情況況

18、不允允許在生生產(chǎn)機(jī)直直接更改改請?jiān)谠陂_發(fā)機(jī)機(jī)修改好好再傳到到生產(chǎn)機(jī)機(jī)。IT人員不是是決定user權(quán)限的人人而是是user大大小小小的leader所以要要變更權(quán)權(quán)限設(shè)定定務(wù)必要求求user提供經(jīng)過審核核的申請請表。當(dāng)然對對于user不合理的的權(quán)限要要求IT人員也有有責(zé)任退退回。日期Date:目錄一、權(quán)權(quán)限的重重要性二、SAP權(quán)限的基基本架構(gòu)構(gòu)三、權(quán)權(quán)限的基基本概念念四、用用戶和角角色的創(chuàng)創(chuàng)建及命命名規(guī)則則六、權(quán)權(quán)限工作作計(jì)劃五、權(quán)權(quán)限實(shí)實(shí)施中注注意要點(diǎn)點(diǎn)日期Date:角色命名名規(guī)則要要慎重在創(chuàng)建角角色時(shí)需需要遵循循一個(gè)規(guī)規(guī)則，這這個(gè)規(guī)則則要求權(quán)權(quán)限管理理員與業(yè)業(yè)務(wù)顧問問進(jìn)行充充分的討討論后，制定

19、出出一個(gè)能能夠滿足足業(yè)務(wù)需需求的權(quán)權(quán)限命名名規(guī)則在對角色色命名過過程中，最好把把可變部部分放到到最后，不變的的放在命命名前。為以后后上二級級單位管管理員做做好準(zhǔn)備備。例：Z:E_XJYT_FI001_BS日期Date:第一輪權(quán)權(quán)限測試試要做細(xì)細(xì)在權(quán)限測測試過程程中，最最少應(yīng)進(jìn)進(jìn)行兩輪輪測試，第一輪輪測試需需對每個(gè)個(gè)模塊抽抽取一個(gè)種子角色色進(jìn)行測測試，這這個(gè)測試試過程非非常重要要，在以以后的角角色創(chuàng)建建過程中中，都將將會(huì)對這這個(gè)角色色進(jìn)行復(fù)復(fù)制工作作。因此此第一輪輪測試應(yīng)應(yīng)該安排排的時(shí)間間最長，做的最最完善，以免以以后造成成重復(fù)工工作。在在做第一一輪測試試時(shí)應(yīng)注注意事項(xiàng)項(xiàng)有：日期Date:權(quán)限測試試注意事事項(xiàng)權(quán)限測試試要重視視，要指指派專門門的業(yè)務(wù)務(wù)人員與與權(quán)限管管理員共共同完成成整個(gè)測測試過程程。對事務(wù)代代碼的測測試要詳詳細(xì)，對對每個(gè)事事務(wù)代碼碼都要完完全測一一遍，以以免以后后發(fā)現(xiàn)漏漏測的現(xiàn)現(xiàn)象。種子角色色中的權(quán)權(quán)限對象象要干凈凈，對于于重復(fù)的的權(quán)限對對象要對對其進(jìn)行行合并，在角色色中避免免出現(xiàn)紅紅色OBJECT值的現(xiàn)象象。統(tǒng)一做權(quán)權(quán)限的登登錄界面面，建議議全部以以中文方方式登錄錄SAP系統(tǒng)進(jìn)行行操作。在做權(quán)限限過程中中，文檔檔要注意意更新，與系統(tǒng)統(tǒng)保持同同步。對權(quán)限的的任何操操作