Рис. 8.12. Базовое обслуживание ролей
7. Для данного примера выберите раздел Tools CCMS из меню SAP и добавьте транзакцию SM21 (оперативный анализ системного журнала) и адрес Web SAP Service Marketplace (см. рис. 8.13).
8. Сохраните результаты работы.
9. Вернитесь к базовому обслуживанию. После завершения деятельности по обслуживанию статус пункта Menu изменится на зеленый.
Рис. 8.13. Выбор видов деятельности
Меню пользователя
При выборе для роли разрешенных операций автоматически генерируется дерево меню, состоящее из этих операций. Это меню доступно всем пользователям, которые присвоены данной группе операций как меню пользователя. Меню пользователя можно впоследствии изменить при обслуживании роли, добавляя папки для структурирования. Можно также перемещать узлы меню, используя технологию буксировки, и настраивать иерархию меню в соответствии с существующими потребностями.
10. Далее для выбранных операций генерируется профиль полномочий. При обслуживании роли выберите вкладку Authorizations (см. рис. 8.14) и введите имя нового профиля полномочий. Все имена с «_» в качестве второго символа зарезервированы для стандартных профилей SAP. Можно позволить системе предложить значение, но оно состоит из трудно запоминаемой строки символов (см. рис. 8.17). Для упрощения последующего анализа рекомендуется использовать свое собственное имя или описательный короткий текст.
Рис. 8.14. Обслуживание полномочий
Необходимые полномочия определяются автоматически на основе выбранных видов деятельности и выводятся в иерархической форме. Сигналы светофора указывают состояние обработки узла:
► Зеленый — все полномочия имеют значения, но нужно их проверить.
► Желтый — по крайней мере, одно поле требует ввода значения (например, имя пользователя или устройства), которое необходимо задать вручную.
► Красный — существует поле, для которого не заданы организационные уровни.
Состояние группы операций, класса объектов, объекта, полномочий или поля может также быть следующим (выводится в обзоре как текст):
► Standard(стандартное) — во всех подчиненных узлах стандарты SAP не изменялись.
► Changed (измененное) — по крайней мере, в одном подчиненном узле стандарты SAP изменены.
► Maintained (обслуживаемое) — по крайней мере, в одно подчиненное поле, не заполненное SAP, были введены пользовательские значения.
► Manually (добавлено вручную) — по крайней мере, одно полномочие было вручную добавлено к подчиненным узлам.
► Old (старое) — после обновления R/3 сравниваются значения существовавших ранее и новых объектов и значений. Если все подчиненные значения идентичны, то узлу (хотя он все еще является текущим) присваивается состояние «старый».
► New (новое) — при сравнении обнаружилось, что были добавлены новые значения.
Теперь можно вручную внести изменения в выбранные полномочия и при необходимости присвоить значения. Можно также добавить или удалить полный набор полномочий. На рис. 8.14 показаны полномочия, выбранные для данного примера. Для этого нужно выполнить следующие шаги:
1. Выбрать узел и открыть его.
2. Теперь можно:
- Деактивировать нежелательные поддеревья или отдельные полномочия, выбрав пиктограмму, показанную справа от статуса (пиктограмма Legend выводит обзор различных символов, используемых этой транзакцией).
- Создать новые полные или отдельные полномочия с помощью команды Edit • Insert • Authorizations.
- Создать или изменить значения объекта полномочий, выбрав соответствующий символ в строке. Например, если обратиться к рис. 8.14, то рекомендуется создать значения полномочий на устройства в системе спула R/3. Эти значения описывают имена устройств, на которые распространяются полномочия. Например, D* означает все имена устройств, начинающиеся с D.
- Вручную удалить или добавить отдельные коды транзакций, соответствующие операциям.
3. После внесения изменений на всех светофорах должен быть зеленый свет. Сохраните изменения.
4. Выберите значок Generate Authorizations.
5. Создается профиль с присвоенными полномочиями и сохраняется с определенным на предыдущем экране именем.
6. Вернитесь к базовому обслуживанию. После завершения обработки статус обслуживания полномочий изменяется на зеленый.
Составные роли
Чтобы еще больше упростить администрирование, можно сгруппировать роли в виде составных ролей. Создание и обслуживание составных ролей в основном совпадает с обслуживанием отдельных ролей.
На начальном экране ►Role maintenance введите имя и щелкните на кнопке Create collective role, чтобы создать составную роль. Используйте вкладку Roles для определения ролей, которые желательно объединить вместе. Можно импортировать и обрабатывать меню отдельных ролей на вкладке Menu. Полномочия в этом месте редактировать нельзя.
8.3.6. Важные роли для системного администрированияВ больших проектах R/3 обязанности системного администратора обычно распределяются по нескольким областям и присваиваются различным людям или группам. Пользователь SAP* имеет профиль SAP_ALL, который включает все виды деятельности, включая специфические для приложений. Поэтому этот пользователь не подходит для обычной деятельности и должен быть защищен от неавторизованного использования. Вместо этого необходимо определить специальных пользователей с ролями, созданными для специальных целей.
Таблица 8.5. Наиболее важные роли для администрирования
Имя профиля Описание SAP_BC_BASIS_ADMIN Базовое администрирование и мониторинг системы SAP_BC_SPOOL_ADMIN Администратор спулинга SAP_BC_BATCH_ADMIN Администратор фоновой обработки SAP_BC_CUS_ADMIN Администратор проектов настройки SAP_BC_DWB_ABAPDEVELOPER Разработчик АВАР SAP_BC_SRV_GBT_ADMIN Администратор коммуникации, папок, планирования сроков SAP_BC_SRV_COM_ADMIN Администратор внешних коммуникаций SAP_BC_SRV_EDI_ADMIN Администратор IDoc SAP_BC_MID_ALE_ADMIN Администратор ALE SAP_BC_TRANSPORT_ADMIN Администратор системы изменений и переноса (CTS) SAP_BC_BMT_WFM_ADMIN Системный администратор информационных потоков SAP_BC_BDC_ADMIN Администратор бизнес-потоков SAP_BC_USER_ADMIN Администратор пользователей SAP_BC_AUTH_DATA_ADMIN Администратор данных полномочий
8.3.7. Назначение и сравнение пользователейЕсть два основных способа назначения ролей:
1. Роли назначаются пользователям в ►User Maintenance
2. Пользователи назначаются ролям в ►Role Maintenance
Чтобы назначить роли в ►User Maintenance (см. раздел 8.2.1), выберите вкладку Roles. Затем можно ввести требуемые роли непосредственно для этого пользователя. При этом для данной роли сгенерированные профили автоматически добавляются на вкладку Profiles.
Сгенерированные профили не должны изменяются вручную, так как назначение или изменение вручную сделают недействительными функции управления и сравнения в Profile Generator. Кроме того, любые изменения в сгенерированных профилях теряются при следующем изменении роли.
Пользователей можно назначать роли на вкладке User при обслуживании роли.
1. Выберите вкладку User.
2. Введите нового пользователя в поле User ID (см. рис. 8.15 для пользователя MUSTERMANN). Пользователь уже должен быть определен.
Рис. 8.15. Назначение пользователя
Период действия
Это представление обслуживания роли позволяет определить ограничения по времени действия ролей и их назначений пользователям. Это позволяет, например, спланировать полномочия, которые потребуются в будущем или должны быть действительны только до определенной даты.
