Business Role

Un business role responde a una pregunta para el SAP Fiori Launchpad: ¿qué puede ver y hacer este usuario? Lo hace mediante tres tipos de contenido:

• Business catalogs deciden a qué apps puede llegar un usuario. Cada catálogo hace referencia a tiles y target mappings, de modo que los catálogos de un rol definen tanto el contenido del app finder como los intents que pueden resolverse.
• Spaces del launchpad (y las pages que contienen) deciden el diseño de la página de inicio. Un space asignado a un rol es visible para todos los usuarios con ese rol.
• Autorizaciones deciden qué puede hacer el usuario una vez que se abre una app. En on-premise, son los objetos de autorización del rol PFCG, incluidas las autorizaciones de inicio de los servicios OData a los que llaman las apps. En Cloud Public Edition, proceden de los business catalogs y se acotan mediante restricciones, como la sociedad.

Un usuario suele tener varios business roles, y el launchpad combina su contenido. Por tanto, un business role es la asignación única que conecta a una persona con el contenido, el diseño y el acceso a datos de SAP Fiori.

En on-premise y en SAP S/4HANA Cloud Private Edition, un business role es un rol PFCG cuyo menú contiene entradas del SAP Fiori Launchpad. El procedimiento habitual:

1. Partir de un rol plantilla entregado por SAP (SAP_BR_*), por ejemplo SAP_BR_PURCHASER, y copiarlo al espacio de nombres del cliente.
2. En el menú del rol, añadir business catalogs y spaces del launchpad. Cuando se añade un catálogo con sus aplicaciones incluidas, PFCG incorpora los valores de autorización por defecto de las apps a las que hace referencia, incluidas las autorizaciones de inicio de servicios OData.
3. Mantener los valores de autorización restantes, generar el perfil y asignar usuarios.

La lista de tareas de activación rápida SAP_FIORI_CONTENT_ACTIVATION puede generar business roles y usuarios de prueba a partir de plantillas de SAP, lo que resulta útil para explorar el contenido entregado en un sistema de pruebas. En on-premise, un business role es un mantenimiento ordinario de roles PFCG con contenido de SAP Fiori añadido al menú.

En Cloud Public Edition no hay acceso a PFCG. Los administradores trabajan con otro conjunto de apps de SAP Fiori:

• Business Role Templates lista las plantillas que entrega SAP, cada una con sus business catalogs y su asignación de space del launchpad.
• Maintain Business Roles crea un business role a partir de una plantilla o desde cero, añade business catalogs y spaces, y mantiene restricciones por categoría de acceso (escritura, lectura, ayuda para entradas).
• Business Catalogs y Display Restriction Types documentan lo que otorga cada catálogo y qué restricciones expone.

Cuando se crea un rol a partir de una plantilla, revise las categorías de acceso de escritura, lectura y ayuda para entradas por tipo de restricción, de modo que el acceso de escritura sea un paso deliberado. Cuando los catálogos admiten IAM apps, se pueden activar o desactivar variantes de autorización de apps individuales. Si un usuario tiene varios roles con el mismo tipo de restricción pero valores distintos, el sistema los agrega, lo que puede ampliar el acceso de forma inesperada. En Cloud Public Edition, un business role se construye a partir de catálogos y restricciones gestionados por SAP, y no a partir de objetos de autorización.

Recorra las capas en orden:

1. No hay tile en la página de inicio, pero la búsqueda encuentra la app. El catálogo está en el rol, pero la app no está en una page de ningún space que tenga el usuario. Añádala a una page o asigne el space correcto.
2. El tile es visible, pero la navegación falla. El target mapping que hay detrás del tile no es accesible a través de los catálogos del usuario, o sus reglas de dispositivo o de parámetros no coinciden. En on-premise, ejecute /UI2/FLIA para el usuario y el intent.
3. La app se abre y luego muestra un error de autorización o ningún dato. Falta la autorización de inicio de OData o una autorización de negocio. En on-premise, consulte SU53 o registre las comprobaciones con STAUTHTRACE en el sistema donde falla la comprobación. En Cloud Public Edition, revise las restricciones del rol y utilice la app Display Authorization Trace.
4. Se modificó el rol, pero el usuario no ve nada nuevo. En on-premise, puede que el perfil no se haya regenerado o que no se haya hecho la comparación de usuarios.

Una app que falta es casi siempre un problema de composición del business role, no una app defectuosa.

1. Editar las plantillas de SAP en lugar de copias. Las plantillas SAP_BR_* son referencias; los cambios deben hacerse en copias del espacio de nombres del cliente, o las actualizaciones y correcciones se vuelven difíciles de comparar.
2. Un rol por persona. Los roles diseñados en torno a individuos se multiplican rápidamente y se rompen con cada reorganización. Diseñe los roles en torno a puestos y tareas.
3. Mezclar apps críticas y comunes en un mismo catálogo. Cualquiera con el rol puede llegar a todas las apps del catálogo mediante la búsqueda y el app finder, aunque la app no esté en una page.
4. Autorizaciones OData con comodín en on-premise. Otorgar todos los servicios con S_SERVICE definido con un asterisco resulta cómodo en un sandbox; SAP recomienda autorizaciones de servicio individuales en producción.
5. Tratar la asignación de roles como el despliegue. Los usuarios que reciben un rol sin un space y unas pages con sentido se encuentran una página de inicio casi vacía o confusa.

La mayoría de los problemas con los business roles son decisiones de diseño tomadas demasiado pronto o demasiado tarde, y una revisión de business roles debe abarcar catálogos, spaces y autorizaciones a la vez.