SU53 y STAUTHTRACE

Ambas responden a la pregunta "¿qué autorización falta?", con distinta profundidad:

• SU53 muestra las comprobaciones de autorización fallidas con el objeto, los campos y los valores comprobados, junto a los valores del buffer del usuario. Desde ABAP platform 1809, SU53 enumera las comprobaciones fallidas en una tabla para todas las instancias del servidor e incluye el filtrado de acceso mediante controles de acceso CDS.
• STAUTHTRACE registra cada comprobación de autorización, correcta o fallida, mientras usted reproduce un problema. Funciona como la traza del sistema de ST01, pero evalúa solo las comprobaciones de autorización, y muestra el punto de llamada en el programa de cada comprobación.

SU53 da la respuesta rápida para un fallo; STAUTHTRACE ofrece la imagen completa cuando interactúan varias comprobaciones.

En SAP GUI, la comprobación fallida se produce en su sesión, y SU53 está justo al lado. Una app SAP Fiori falla dentro de solicitudes OData que se ejecutan como llamadas HTTP, posiblemente en otro servidor de aplicaciones y, en una implementación hub, en un sistema distinto:

• La autorización de inicio (S_SERVICE) se comprueba en el front-end server.
• Las autorizaciones de negocio, como la organización de compras, se comprueban en el back-end donde se ejecuta el servicio, para el mismo usuario a través de una conexión RFC de confianza.
• Los controles de acceso CDS no generan un error; filtran filas, por lo que la app muestra una lista vacía en lugar de un mensaje.

Analice SU53 y STAUTHTRACE en el sistema donde realmente se ejecutó la comprobación, y considere una lista vacía como un posible síntoma de autorización.

Un comprador de Alder Manufacturing abre una app de pedidos de compra y no ve ningún pedido de Bright Freight:

1. Reproduzca el problema y anote la hora y la solicitud OData fallida desde las herramientas de desarrollo del navegador.
2. Pida al comprador que ejecute SU53 justo después del error en el sistema que procesa la solicitud, y busque comprobaciones fallidas o filtradas.
3. Si SU53 no es concluyente, inicie STAUTHTRACE, introduzca al comprador en Trace Only for User y active la traza.
4. Pida al comprador que repita la acción y, después, desactive la traza.
5. Evalúe con Filter Duplicate Entries y filtre por las comprobaciones fallidas.
6. Añada el valor que falta al rol PFCG del comprador, vuelva a generar el perfil y pruebe de nuevo.

Las solicitudes pueden llegar a cualquier servidor de aplicaciones, así que use la opción System-Wide Trace para trazar en todos los servidores si la traza sigue vacía. Esta secuencia convierte los resultados de SU53 y STAUTHTRACE en un único cambio de rol dirigido.

• SU56: muestra el buffer de autorizaciones del usuario, incluidos los valores con los que se compararon las comprobaciones fallidas.
• PFCG: corrige el rol; SU24 mantiene los valores predeterminados que heredan los roles, y los resultados de STAUTHTRACE ayudan a completarlos.
• /IWFND/ERROR_LOG: muestra si la solicitud OData falló realmente con un error de autorización.
• /UI2/FLIA: descarta problemas de navegación antes de buscar autorizaciones.
• Display Authorization Trace (F4106): en SAP S/4HANA Cloud Public Edition, activa una traza para un business user y muestra las comprobaciones correctas, fallidas y filtradas, además de los business roles que concederían el acceso.

SU53 y STAUTHTRACE localizan el valor que falta; PFCG o la administración de business roles cierra la brecha.