做 SAP 权限管理，最容易踩坑的地方往往不是某个事务码不会用，而是把 Authorization、Profile、Role、User Master Record 这几层关系混在一起。界面上看起来只是给用户加一个权限，背后其实牵扯到对象字段、授权实例、Profile 生成、用户主数据比较、角色传输、审计追踪，还有后续升级时的 Clean Core 风险。Administration Tasks 这块内容看起来像 Basis 管理员的日常操作，真正落到 SAP S/4HANA 项目里，它直接影响业务能不能跑、审计能不能过、系统升级时权限模型会不会变成一团乱麻。
SAP 系统确实允许手工维护 Authorizations 和 Authorization Profiles。入口通常在 SAP GUI 的 Tools、Administration、User Maintenance、Manual Maintenance 下面，可以进入手工编辑授权和 Profile 的维护功能。这个能力不是不存在，而是不应该作为常规方案。原因很直接，手工维护绕开了角色建模、Profile Generator、菜单和授权对象自动带入、组织级别维护、用户主数据比较这些机制。一旦系统里大量用户靠手工 Profile 维持访问权限，权限问题就会变得很难追踪，也很难解释。
在我们的项目治理思路里，权限维护的主线应该放在 Role Maintenance，也就是事务码 PFCG。PFCG 不只是创建角色的工具，它把业务岗位、菜单入口、授权对象、组织级别、Profile 生成和用户分配串成一条链路。业务部门说某个岗位需要处理供应商发票、查看会计凭证、维护采购订单，权限团队不应该直接去用户主数据里塞 Profile，而应该把这些工作内容抽象成单一角色或组合角色，再通过 PFCG
订阅专栏 解锁全文
8275
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
