SU53 et STAUTHTRACE

Toutes deux répondent à la question « quelle autorisation manque-t-il ? », à des niveaux de profondeur différents :

• SU53 affiche les contrôles d'autorisation en échec avec l'objet, les champs et les valeurs contrôlés, à côté des valeurs présentes dans le buffer de l'utilisateur. Depuis ABAP platform 1809, SU53 liste les contrôles en échec dans un tableau, sur toutes les instances de serveur, et inclut le filtrage d'accès par les contrôles d'accès CDS.
• STAUTHTRACE enregistre chaque contrôle d'autorisation, réussi ou en échec, pendant que vous reproduisez un problème. Elle fonctionne comme la trace système de ST01, mais n'évalue que les contrôles d'autorisation, et affiche le point d'appel dans le programme pour chaque contrôle.

SU53 donne la réponse rapide pour un échec isolé ; STAUTHTRACE donne la vue complète lorsque plusieurs contrôles interagissent.

Dans SAP GUI, le contrôle en échec a lieu dans votre session, et SU53 est juste à côté. Une application SAP Fiori échoue à l'intérieur de requêtes OData exécutées sous forme d'appels HTTP, éventuellement sur un autre serveur d'application et, dans un déploiement hub, dans un autre système :

• L'autorisation de démarrage (S_SERVICE) est contrôlée sur le serveur front-end.
• Les autorisations métier, comme l'organisation d'achats, sont contrôlées dans le back-end où le service s'exécute, pour le même utilisateur via une connexion RFC de confiance.
• Les contrôles d'accès CDS ne lèvent pas d'erreur ; ils filtrent les lignes, si bien que l'application affiche une liste vide au lieu d'un message.

Analysez SU53 et STAUTHTRACE dans le système où le contrôle s'est réellement exécuté, et considérez une liste vide comme un symptôme d'autorisation possible.

Une acheteuse d'Alder Manufacturing ouvre une application de commandes d'achat et ne voit aucune commande pour Bright Freight :

1. Reproduisez le problème et notez l'heure ainsi que la requête OData en échec dans les outils de développement du navigateur.
2. Faites exécuter SU53 par l'acheteuse juste après l'erreur, dans le système qui traite la requête, et recherchez les contrôles en échec ou filtrés.
3. Si SU53 ne permet pas de conclure, lancez STAUTHTRACE, saisissez l'acheteuse sous Trace Only for User et activez la trace.
4. Laissez l'acheteuse répéter l'action, puis désactivez la trace.
5. Évaluez avec Filter Duplicate Entries, et filtrez sur les contrôles en échec.
6. Ajoutez la valeur manquante au rôle PFCG de l'acheteuse, régénérez le profil et testez à nouveau.

Les requêtes peuvent atteindre n'importe quel serveur d'application : utilisez donc l'option System-Wide Trace pour tracer sur tous les serveurs si la trace reste vide. Cette séquence transforme les résultats de SU53 et STAUTHTRACE en une modification de rôle ciblée.

• SU56 : affiche le buffer d'autorisations de l'utilisateur, y compris les valeurs auxquelles les contrôles en échec ont été comparés.
• PFCG : corrige le rôle ; SU24 maintient les valeurs par défaut dont héritent les rôles, que les résultats de STAUTHTRACE aident à compléter.
• /IWFND/ERROR_LOG : indique si la requête OData a réellement échoué avec une erreur d'autorisation.
• /UI2/FLIA : écarte les problèmes de navigation avant que vous ne recherchiez des autorisations.
• Display Authorization Trace (F4106) : dans SAP S/4HANA Cloud Public Edition, active une trace pour un utilisateur métier et affiche les contrôles réussis, en échec et filtrés, ainsi que les business roles qui accorderaient l'accès.

SU53 et STAUTHTRACE localisent la valeur manquante ; PFCG ou l'administration des business roles comble la lacune.