PFCG y roles de SAP Fiori

PFCG es la misma transacción de mantenimiento de roles que se usa para SAP GUI, con entradas de SAP Fiori añadidas al menú del rol. Para SAP Fiori, un rol PFCG cumple tres funciones:

• Contenido: los business catalogs deciden a qué apps puede acceder el usuario; los spaces del launchpad deciden el diseño de la página de inicio.
• Autorizaciones de inicio: las entradas de S_SERVICE permiten al usuario llamar a los servicios OData que hay detrás de las apps.
• Autorizaciones de negocio: los objetos de autorización habituales, como la organización de compras o la sociedad, deciden qué datos puede ver y modificar el usuario.

PFCG es el lugar donde el contenido de SAP Fiori y las autorizaciones clásicas de SAP confluyen en un único rol.

1. Copie una plantilla SAP_BR_*, por ejemplo SAP_BR_PURCHASER, al espacio de nombres del cliente. Los usuarios también necesitan el rol de inicio del launchpad; SAP entrega SAP_FLP_USER como plantilla.
2. En la pestaña Menu, añada SAP Fiori Launchpad → Launchpad Catalog, elija el front-end server local o uno remoto y seleccione el business catalog. Mantenga activo Include Applications para que se añadan los valores predeterminados de autorización de las apps, incluidos los servicios OData.
3. Añada SAP Fiori Launchpad → Launchpad Space con el ID del space, si la release del front-end server admite spaces.
4. En la pestaña Authorizations, mantenga los valores abiertos y genere el perfil.
5. Asigne los usuarios y ejecute la comparación de usuarios.

En una implementación hub, el sistema back-end necesita su propio rol con las autorizaciones de negocio correspondientes; el report PRGN_CREATE_FIORI_BACKENDROLE puede crearlo a partir del menú del rol del front-end. Un rol PFCG funcional para SAP Fiori se construye en este orden: contenido, autorizaciones de inicio y, después, autorizaciones de negocio.

Cada llamada OData de una app SAP Fiori pasa una comprobación de autorización de inicio sobre S_SERVICE. En el front-end server, la comprobación usa la entrada IWSG del servicio (OData V2) o la entrada G4BA (OData V4); en el sistema back-end, se aplica la entrada IWSV para OData V2. Cuando se añade un catálogo con sus aplicaciones, PFCG deriva estas entradas automáticamente. El servicio debe estar activado, y haberse llamado una vez, antes de poder asignarlo.

Un comodín (S_SERVICE con un asterisco) permite a los usuarios llamar a todos los servicios activados. SAP lo desaconseja en producción. S_SERVICE decide si una app puede comunicarse con su servicio; las autorizaciones de negocio siguen decidiendo qué devuelve el servicio.

Para los fallos de autorización, ejecute SU53 o registre las comprobaciones con STAUTHTRACE en el sistema donde falló la comprobación, front-end o back-end; en una implementación hub, las comprobaciones del back-end se ejecutan para el mismo usuario a través de una conexión RFC de confianza. La mayoría de los errores de PFCG para SAP Fiori se deben a que falta una de las capas del rol.