SAP ABAP 权限对象

权限对象 （Authorization object）

• T-code: SU21
• 定义：
• 权限对象：S_TCODE 包含了若干事物码，权限字段 TCD ,允许的值（FIELD VALUE）存放的就是事物代码

权限字段 Authorization Field

• T-code: SU20
• 权限字段:ACTVT ,允许的值（FIELD VALUE）存放的就是允许操作的代码，01 代表创建，02 代表修改 03 代表显示等。

允许的操作 Activity

允许的值 Field Value

角色，参数文件

• T-code: pfcg
• 一个角色对应一个参数文件
• 角色
  • 用于给用户分配具体的权限菜单。例如可以把 SD 相关操作的菜单分配到某个角色中，把 MM 的菜单分配给另外一个角色。每个角色可以分配给多个用户，每个用也可以同时分配多个角色。
  • 分类
    • 单一角色
    • 复合角色
      • 包含多个单一角色
      • 单一角色和复合角色：单一角色好比“IT 部员”,复合角色好比“IT 经理”,每个 IT 部员所操作的权限范围不同而 IT 经理可以具备多部员的权限，IT 经理的权限就是多为 IT 部的权限的一个集合，即在 IT 经理的权限中添加多个 IT 部员的权限即可。就是将多个单一角色分配子在一个复合角色中，取并集。
• 参数文件
  • 每个角色都会有对应的参数文件，SAP 通过参数文件检查用户访问系统的权限。
  • SAP 有很多预制的参数文件
    • SAP_ALL 所有 SAP 系统权限
    • S_A.SYSTEM 系统管理员及超级用户

用户

• T-code：SU01
• 具体操作 SAP 系统的用户，使用 SU01 创建一个新的用户 ID，默认的权限是空白的，需允许任何操作。

权限对象，角色，参数文件 ，事物码，用户之间的关系

• 用户通过分配到的角色获取相应的权限
• 一个用户个分配多个角色，一个角色也可以分配给多个用户。
• 角色包含了若干权限对象，在==透明表 AGR_1250==中有存储两者之间的关系
• 权限对象包含若干权限字段，允许的操作和允许的值，在==透明表 AGR_1251==中体现了 ROLE/OBJECT/FIELD/VALUE 之间的关系
• 权限对象：S_TCODE 包含了若干事物码，权限字段 TCD ,允许的值（FIELD VALUE）存放的就是事物代码

ABAP 权限检查

• 语法

AUTHORITY-CHECK OBJECT auth_obj [FOR USER user]  
                   ID id1 {FIELD val1}|DUMMY   
                  [ID id2 {FIELD val2}|DUMMY]   
                   ...  
                  [ID id10 {FIELD val10}|DUMMY].
​

• 代码样例

* 权限检查
 AUTHORITY-CHECK OBJECT 'M_MATE_WRK'
                  ID 'WERKS' FIELD '2000'
                  ID 'WERKS' FIELD '1000'
                  .
 IF SY-SUBRC = 0 .
  WRITE : /  'SSSSS'.
 ENDIF.
​