Les autorisations
dans SAP pour les
débutants
SOLUTIONS S4H CLUB CONSULTING RETAIL
MICKAEL QUESNOT
YOUTUBE.COM/@S4HCLUBFORYOU
Motivation pour le changement
Proposition de solution
Objectifs Directive
Étapes du système
Dépannage
youtube.com/@s4hclubforyou
Enraison de contraintes de temps lors d’une implémentation rapide, l’approche en
matière de sécurité peut consister à gérer les accès via le frontal FIORI (applications /
catalogue).
Motivation
Ce modèle facilite la restriction des autorisations en affectant uniquement les
applications requises par domaine fonctionnel au catalogue FIORI.
Lesrestrictions d'autorisations des systèmes «backend» SAP S4 ne sont pas
pour le
nécessaires dans ce modèle (affectation de SAP_ALL)
Le principe de départ est que seul le FIORI UX est utilisé, rendant ainsi ce modèle
durable
changement Les limitations de cette approche ne deviennent significatives que lorsque l'interface
utilisateur de S4 «back end» est utilisée
En
cas de changement d'approche consistant à utiliser exclusivement FIORI UX, il
devient nécessaire et urgent de recourir à l'interface graphique S4, ce qui rend
nécessaire la gestion des autorisations.
Les conclusions de l’audit de SAP recommandent la suppression de l’accès SAP_ALL.
La solution proposée peut être mise en œuvre dans un délai relativement court
youtube.com/@s4hclubforyou
La finance
Les rôles standard SAP Best Opérations en magasin
Practice doivent être identifiés Acheteur - (Prix et achat)
par domaine fonctionnel: Données de base
Opérations Centre de distribution
Des rôles «shell» composites personnalisés seront créés par
domaine fonctionnel et contiennent les rôles SAP Best
Practice.
Proposition de
solution Une analyse sera effectuée pour s'assurer que seules les
transactions à faible risque chevauchent les domaines
fonctionnels. Par exemple, les transactions Afficher.
La séparation des zones d'organisation n'est pas critique à
ce moment-là (pas de séparation entre les entités, sauf les
opérations de magasin gérées via FIORI)
youtube.com/@s4hclubforyou
Directive
IDENTIFIER LES POUR CHAQUE LES RÔLES ONT ÉTÉ UNE ÉTAPE AUTRES OUTILS UTILES, LA
AUTORISATIONS SAP DOMAINE IDENTIFIÉS EN FONCTION SUPPLÉMENTAIRE TRANSACTION SUIM
DANS 5 DOMAINES DE OPÉRATIONNEL, LES DU NOM DE RÔLE, PAR CONSISTE À S’ASSURER
HAUT NIVEAU, RÔLES STANDARD SAP EXEMPLE. * FI *, * CO *, * QUE CES RÔLES
L'APPROCHE A ÉTÉ ONT ÉTÉ IDENTIFIÉS DE LA ACHETEUR *, … COMPORTENT LES
ADOPTÉE POUR ÉVITER MANIÈRE SUIVANTE: TRANSACTIONS
LES PROBLÈMES EXTRAIRE TOUS LES REQUISES PAR
D'AUTORISATIONS RÔLES DE LA TABLE OPÉRATION.
FUTURS, EN RAISON DE AGR_1251 (RÔLES
L'ÉVOLUTION DES UNIQUES UNIQUEMENT),
EXIGENCES DE (VOUS POUVEZ UTILISER
L'ENTREPRISE AGR_TCODES POUR
L'AFFECTATION DE
TRANSACTION)
youtube.com/@s4hclubforyou
Étapes du système
Les rôles standard SAP ne sont pas livrés terminés, car
ils ne sont pas censés être utilisés, mais doivent être
utilisés uniquement à titre de référence.
Rôle SAP incomplet, par exemple
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
Étapes du Voir la note SAP 440231. Cette note
explique pourquoi la transaction
système SU25 doit être exécutée après une
installation ou une mise à niveau du
système.
Cet outil tente de compléter les rôles
SAP Standard en attribuant les profils
manquants et en générant le rôle.
Cet outil doit être exécuté dans tous les
systèmes.
Y compris la passerelle
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
Une fois que SU25 a été exécuté, les rôles
SAP doivent être terminés (60%).
Effectuez ensuite des copies des rôles
Étapes du standard SAP. C’est une bonne pratique,
système car les rôles standard SAP peuvent être
modifiés avec une mise à niveau.
Ceci est fait en utilisant la transaction
PFCG
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
Ensuite, une génération de masse est nécessaire
pour les profils toujours manquants, transaction
PFCG.
Le reste doit être effectué manuellement (ceux
qui ne sont pas générés lors de l'exécution en
Étapes du masse).
système
Prochaine étape, comparaison de masse.
Une comparaison des utilisateurs est toujours
nécessaire une fois que les changements de rôle
ont eu lieu
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
Étapes du Suivant les besoins du client, les
objets d'organisation doivent être
système gérés.
Possibilités: Z_MM_PUR_LIS_GENERAL
Z_MM_PUR_LIS_GENERAL_01 00 Z_MM_PUR_LIS_GENERAL_02 00
Z_MM_PUR_LIS_GENERAL_01 01
Z_MM_PUR_LIS_GENERAL_01 02
youtube.com/@s4hclubforyou
Rôle dérivé
Scission par Scission par
code société code société
Ou Scission par
Centre de coûts
ou division
youtube.com/@s4hclubforyou
System Steps – SAFO Solution
▪The Organizational split was not a requirement
▪Next all operational roles were added to a Composite role per operational area, this reduces
the maintenance time, e.g. FI +/- 340 roles
Z_APPROVISIONNEMENT
Z_BPR_BUYER_16
Z_ISR_PUR_PURCHASEORDER
Z_ISR_PROMOTION_ADMIN
Z_MM_PUR_CONDITIONS
Z_MM_IM_REPORTS
youtube.com/@s4hclubforyou
La création d'un rôle composite
s'effectue avec la transaction PFCG.
Une fois créés, tous les rôles doivent être
attribués:
Étapes du Z_APPROVISIONNEMENT
Z_DONNEES_MAITRES
système Z_ENTREPOT
Z_FINANCE
Z_OPERATIONS_MAGASIN
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
youtube.com/@s4hclubforyou
System Steps – SAFO Solution
▪The creation of a Composite Role is done in T/Code PFCG, once created all roles must be
assigned:
▪Z_APPROVISIONNEMENT
▪Z_DONNEES_MAITRES
▪Z_ENTREPOT
▪Z_FINANCE
▪Z_OPERATIONS_MAGASIN
youtube.com/@s4hclubforyou
System Steps – SAFO Solution
▪Next the menu must be generated, by importing the menu (this can be customized on this
screen)
youtube.com/@s4hclubforyou
System Steps – SAFO Solution
▪The user must be assigned, this can be done in the next tab, once done a User Comparison
must be run to finally complete the authorization assignment to the user:
ystem Steps – SAFO Solution
youtube.com/@s4hclubforyou
System Steps – Fiori
▪First S4 Roles need to be assigned, (remember to complete the roles):
▪SAP_S_RFCACL
▪SAP_UI2_ADMIN_750 (check which version you have)
▪SAP_UI2_USER_750 (check which version you have)
▪Next FIORI roles need to assigned if a gateway is used:
▪SAP_S_RFCACL
▪SAP_UI2_PAGEBUILDER_CUST
▪SAP_UI2_USER_750 (check which version you have)
▪Additional steps need to be followed for roles below, see SAP Help – Configuring
Authorization Roles - SAP Fiori launchpad (as an end user)
▪SAP_UI2_PAGEBUILDER_CUST
▪SAP_UI2_USER_750
https://help.sap.com/saphelp_ewm92/helpdata/en/85/be3fff35604fa09a1668dd97ef4407/frameset.htm
youtube.com/@s4hclubforyou
Troubleshooting
▪A user experiences missing authorization:
▪First determine if the user should have access to the transaction, here are the rules:
• ME21N
• ME22N
Financ Master Purchasin • MIRO
Logistics • MIGO
e Data g
▪This was a Finance user that received this error and if the business decides that the Finance
user must create articles, assign the Master Data composite role to this user only
youtube.com/@s4hclubforyou
Troubleshooting
▪There are 2 possible issues why authorization is missing
1. The user does not have the transaction because none of the roles assigned to the user
contain the transaction
1. To resolve - high level – Find a role with the required auths an assign to user / Composite role
2. The user has the transaction contained in a role already assigned, this scenario is a little
more difficult to resolve
1. See next steps
youtube.com/@s4hclubforyou
Troubleshooting
▪If the Master User is missing this authorization, the following steps will assist in correcting
the missing authorization:
▪Is the transaction an operational specific sensitive transaction, e.g. MM41
▪If this is the case the transaction must be only assigned to the composite role of the
operational area, here Z_DONNEES_MAITRES
▪Always ask the user to run T/Code SU53, directly after the authorization error:
▪The users SU53 can be viewed by you by
clicking
youtube.com/@s4hclubforyou
Troubleshooting
▪Go to T/Code SUIM, this step is to confirm that the transaction is not assigned to the user:
youtube.com/@s4hclubforyou
Troubleshooting
▪Next step is to find which roles assigned to the user, T/Code SUIM, Copy all roles:
youtube.com/@s4hclubforyou
Troubleshooting
▪Now, find the role with the transaction in question, T/Code SUIM:
youtube.com/@s4hclubforyou
Troubleshooting
▪Next copy role and go to T/Code PFCG (or double click on the role), click change and go to
Authorizations tab then Change Authorizations
▪Based on the SU53 copy the affected Object (M_BEST_EKG), use the SAP search
functionality to find the object:
youtube.com/@s4hclubforyou
Troubleshooting
▪If the user is allowed access to the transaction and does not currently have access, repeat
the process as above:
▪Find a SAP standard role with the required authorizations, but that does not allow
authorizations forbidden for the operational area (SUIM)
▪Copy role Z_ (PFCG)
▪Complete Role (PFCG)
▪Add role to Composite role (PFCG)
youtube.com/@s4hclubforyou
Troubleshooting
▪Next step is to find which role assigned to the user that is problematic, only flag Composite:
youtube.com/@s4hclubforyou
