PFCG et rôles SAP Fiori
PFCG est la transaction SAP de maintenance des rôles qui donne accès à SAP Fiori en on-premise et en Private Edition. Le menu d'un rôle PFCG contient des business catalogs et des spaces du launchpad, et les autorisations du rôle incluent les autorisations de démarrage des services OData appelés par les applications, contrôlées via l'objet d'autorisation S_SERVICE.
L'essentiel
- Type
- Transaction (maintenance des rôles)
- Couche
- Contenu, navigation et accès
- Entrées de menu SAP Fiori
- Launchpad Catalog ; Launchpad Space / Launchpad Space Template
- Objet d'autorisation clé
- S_SERVICE (autorisation de démarrage des services OData)
- Modèles SAP
- Business roles SAP_BR_* ; SAP_FLP_USER et SAP_FLP_ADMIN pour le launchpad
- Transactions associées
- SU53, STAUTHTRACE, SU25, /UI2/FLIA
- S'applique à
- SAP S/4HANA on-premise, Private Edition, SAP ECC avec SAP Fiori
Couche : Contenu, navigation et accèsOù se situe-t-il ? ▾
Couche : Contenu, navigation et accès
Ouvrir la carte d'architecture →Que fait PFCG pour SAP Fiori ?
PFCG est la même transaction de maintenance des rôles que celle utilisée pour SAP GUI, avec des entrées SAP Fiori ajoutées au menu du rôle. Pour SAP Fiori, un rôle PFCG remplit trois fonctions :
- Contenu : les business catalogs déterminent les applications auxquelles l'utilisateur peut accéder ; les spaces du launchpad déterminent la disposition de la page d'accueil.
- Autorisations de démarrage : les entrées S_SERVICE permettent à l'utilisateur d'appeler les services OData qui se trouvent derrière les applications.
- Autorisations métier : les objets d'autorisation habituels, comme l'organisation d'achats ou la société, déterminent les données que l'utilisateur peut voir et modifier.
PFCG est l'endroit où le contenu SAP Fiori et les autorisations SAP classiques se rejoignent dans un même rôle.
Comment construire un rôle SAP Fiori dans PFCG pas à pas ?
- Copiez un modèle SAP_BR_*, par exemple SAP_BR_PURCHASER, dans l'espace de noms client. Les utilisateurs ont aussi besoin du rôle de démarrage du launchpad ; SAP livre SAP_FLP_USER comme modèle.
- Dans l'onglet Menu, ajoutez SAP Fiori Launchpad → Launchpad Catalog, choisissez le serveur front-end local ou un serveur distant et sélectionnez le business catalog. Laissez Include Applications activé afin que les valeurs d'autorisation par défaut des applications, services OData compris, soient ajoutées.
- Ajoutez SAP Fiori Launchpad → Launchpad Space avec l'ID du space, si la release du serveur front-end prend en charge les spaces.
- Dans l'onglet Authorizations, renseignez les valeurs ouvertes et générez le profil.
- Affectez les utilisateurs et lancez la comparaison des utilisateurs.
Dans un déploiement hub, le système back-end a besoin de son propre rôle avec les autorisations métier correspondantes ; le programme PRGN_CREATE_FIORI_BACKENDROLE peut le créer à partir du menu du rôle front-end. Un rôle PFCG fonctionnel pour SAP Fiori se construit dans cet ordre : contenu, autorisations de démarrage, puis autorisations métier.
Comment S_SERVICE contrôle-t-il l'accès OData ?
Chaque appel OData d'une application SAP Fiori passe un contrôle d'autorisation de démarrage sur S_SERVICE. Sur le serveur front-end, le contrôle utilise l'entrée IWSG (OData V2) ou G4BA (OData V4) du service ; sur le système back-end, c'est l'entrée IWSV qui s'applique pour OData V2. Lorsqu'un catalogue est ajouté avec ses applications, PFCG dérive ces entrées automatiquement. Le service doit être activé, et appelé une fois, avant de pouvoir être affecté.
Un caractère générique (S_SERVICE renseigné avec un astérisque) permet aux utilisateurs d'appeler tous les services activés. SAP le déconseille en production. S_SERVICE détermine si une application peut tout simplement communiquer avec son service ; ce sont toujours les autorisations métier qui déterminent ce que le service renvoie.
Que signifient les erreurs PFCG courantes pour SAP Fiori ?
| Symptôme | Cause probable dans le rôle |
|---|---|
| Aucune tile, application introuvable par la recherche | Catalogue manquant, ou l'option de menu qui masque le menu dans le launchpad est sélectionnée |
| Tile visible, la navigation échoue | Catalogue du target mapping absent des rôles de l'utilisateur ; vérifier avec /UI2/FLIA |
| L'application s'ouvre, puis affiche un 403 ou « pas d'autorisation » | Entrée S_SERVICE manquante pour le service OData de l'application |
| L'application s'ouvre avec des listes vides | Valeurs d'autorisation métier manquantes dans le rôle back-end |
En cas d'échec d'autorisation, exécutez SU53 ou enregistrez les contrôles avec STAUTHTRACE dans le système où le contrôle a échoué, front-end ou back-end ; dans un déploiement hub, les contrôles back-end s'exécutent pour le même utilisateur via une connexion RFC de confiance. La plupart des erreurs PFCG pour SAP Fiori remontent à une couche manquante du rôle.
Rôle PFCG ou business role dans SAP S/4HANA Cloud Public Edition : quelle différence ?
| Rôle PFCG (on-premise, Private Edition) | Business role (Cloud Public Edition) | |
|---|---|---|
| Maintenu dans | Transaction PFCG | Application Maintain Business Roles |
| Contenu SAP Fiori | Catalogues et spaces dans le menu du rôle | Business catalogs et spaces affectés au rôle |
| Autorisations | Objets et valeurs d'autorisation, y compris S_SERVICE | Restrictions par catégorie d'accès ; les objets sont masqués |
| Point de départ | Copies des rôles modèles SAP_BR_* | Modèles de business roles |
Les deux sont des business roles ; PFCG expose les objets d'autorisation, l'application cloud les abstrait.
Questions fréquentes
Les applications SAP Fiori ont-elles encore besoin de rôles PFCG dans SAP S/4HANA ?
Oui, en on-premise et en Private Edition. Les catalogues, les spaces, les autorisations de démarrage OData et les autorisations métier sont tous accordés via des rôles PFCG. Seule SAP S/4HANA Cloud Public Edition remplace PFCG par l'application Maintain Business Roles.
Faut-il utiliser S_SERVICE avec un caractère générique en production ?
SAP le déconseille. Un caractère générique permet aux utilisateurs d'appeler tous les services OData activés, y compris ceux d'applications qu'ils ne voient pas. Ajoutez plutôt les catalogues avec leurs applications, afin que PFCG dérive les entrées de service exactes dont les applications ont besoin.
Pourquoi SU53 n'affiche-t-elle rien pour une application SAP Fiori en échec ?
SU53 n'affiche les contrôles en échec que pour le système où vous l'exécutez. Depuis ABAP platform 1809, elle liste les contrôles en échec sur toutes les instances de serveur d'application et fonctionne depuis n'importe quelle session de l'utilisateur : la session n'est donc pas en cause. Les applications SAP Fiori échouent dans des requêtes OData, souvent dans un autre système que celui où SU53 est lancée. Exécutez SU53 ou STAUTHTRACE sur les systèmes front-end et back-end.
Peut-on utiliser PFCG dans SAP S/4HANA Cloud Public Edition ?
Non. La Cloud Public Edition ne donne pas accès à PFCG. Les administrateurs créent des business roles à partir de modèles SAP dans l'application Maintain Business Roles et contrôlent l'accès aux données par des restrictions plutôt que par des objets d'autorisation.
Sources
- SAP Help Portal: Assign Business Catalogs to Roles (ABAP platform)
- SAP Help Portal: Creating Roles on Front-End and Assigning Launchpad Catalogs and Spaces/Pages (SAP S/4HANA)
- SAP Help Portal: Configuring Roles with Launchpad Start Authorizations (ABAP platform)
- SAP Help Portal: Configure Roles for Spaces (ABAP platform)
- SAP Help Portal: Display Authorization Data for User (Changed) — SU53 in ABAP platform 1809
- S'applique à
- SAP S/4HANA on-premise · SAP S/4HANA Cloud Private Edition · SAP ERP (ECC)
- Dernière relecture