Business Role

Un business role répond à une seule question pour le SAP Fiori Launchpad : que peut voir et faire cet utilisateur ? Il y répond au moyen de trois types de contenu :

• Les business catalogs déterminent les applications auxquelles un utilisateur peut accéder. Chaque catalogue référence des tiles et des target mappings ; les catalogues d'un rôle définissent donc à la fois le contenu de l'app finder et les intents qui peuvent être résolus.
• Les spaces du launchpad (et les pages qu'ils contiennent) déterminent la mise en page de la page d'accueil. Un space affecté à un rôle est visible par tous les utilisateurs disposant de ce rôle.
• Les autorisations déterminent ce que l'utilisateur peut faire une fois l'application ouverte. En on-premise, il s'agit des objets d'autorisation du rôle PFCG, y compris les autorisations de démarrage des services OData appelés par les applications. En Cloud Public Edition, elles proviennent des business catalogs et sont restreintes par des restrictions telles que la société.

Un utilisateur détient généralement plusieurs business roles, et le launchpad fusionne leur contenu. Le business role est donc l'affectation unique qui relie une personne au contenu SAP Fiori, à la mise en page et à l'accès aux données.

En on-premise et dans SAP S/4HANA Cloud Private Edition, un business role est un rôle PFCG dont le menu contient des entrées du SAP Fiori launchpad. La démarche habituelle :

1. Partir d'un rôle modèle livré par SAP (SAP_BR_*), par exemple SAP_BR_PURCHASER, et le copier dans l'espace de noms client.
2. Dans le menu du rôle, ajouter des business catalogs et des spaces du launchpad. Lorsqu'un catalogue est ajouté avec ses applications, PFCG reprend les valeurs d'autorisation par défaut des applications qu'il référence, y compris les autorisations de démarrage des services OData.
3. Gérer les valeurs d'autorisation restantes, générer le profil et affecter les utilisateurs.

La liste de tâches d'activation rapide SAP_FIORI_CONTENT_ACTIVATION peut générer des business roles et des utilisateurs de test à partir des modèles SAP, ce qui est utile pour explorer le contenu livré dans un système de test. En on-premise, un business role relève de la gestion classique des rôles PFCG, avec du contenu SAP Fiori ajouté au menu.

En Cloud Public Edition, il n'y a pas d'accès à PFCG. Les administrateurs travaillent avec un autre ensemble d'applications SAP Fiori :

• Business Role Templates liste les modèles livrés par SAP, chacun avec ses business catalogs et son affectation de space du launchpad.
• Maintain Business Roles crée un business role à partir d'un modèle ou de zéro, ajoute des business catalogs et des spaces, et gère les restrictions par catégorie d'accès (écriture, lecture, aide à la saisie).
• Business Catalogs et Display Restriction Types documentent ce que chaque catalogue accorde et les restrictions qu'il expose.

Lorsqu'un rôle est créé à partir d'un modèle, vérifiez les catégories d'accès en écriture, en lecture et pour l'aide à la saisie par type de restriction, afin que l'accès en écriture soit une étape délibérée. Lorsque les catalogues prennent en charge les applications IAM, des variantes d'autorisation individuelles par application peuvent être activées ou désactivées. Si un utilisateur détient plusieurs rôles avec le même type de restriction mais des valeurs différentes, le système les agrège, ce qui peut élargir l'accès de manière inattendue. En Cloud Public Edition, un business role est construit à partir de catalogues et de restrictions gérés par SAP plutôt qu'à partir d'objets d'autorisation.

Parcourez les couches dans l'ordre :

1. Aucune tile sur la page d'accueil, mais l'application est trouvée par la recherche. Le catalogue figure dans le rôle, mais l'application ne se trouve sur aucune page d'un space dont dispose l'utilisateur. Ajoutez-la à une page ou affectez le bon space.
2. Tile visible, la navigation échoue. Le target mapping derrière la tile n'est pas accessible via les catalogues de l'utilisateur, ou ses règles de terminal ou de paramètres ne correspondent pas. En on-premise, exécutez /UI2/FLIA pour l'utilisateur et l'intent.
3. L'application s'ouvre, puis affiche une erreur d'autorisation ou aucune donnée. L'autorisation de démarrage OData ou une autorisation métier est manquante. En on-premise, vérifiez SU53 ou enregistrez les contrôles avec STAUTHTRACE dans le système où le contrôle échoue. En Cloud Public Edition, vérifiez les restrictions du rôle et utilisez l'application Display Authorization Trace.
4. Le rôle a été modifié, mais l'utilisateur ne voit rien de nouveau. En on-premise, le profil n'a peut-être pas été régénéré ou la comparaison des utilisateurs n'a pas été effectuée.

Une application absente relève presque toujours d'un problème de composition du business role, pas d'une application défaillante.

1. Modifier les modèles SAP au lieu de copies. Les modèles SAP_BR_* sont des références ; les modifications se font dans des copies de l'espace de noms client, sinon les mises à niveau et les corrections deviennent difficiles à comparer.
2. Un rôle par personne. Les rôles conçus autour d'individus se multiplient rapidement et ne résistent à aucune réorganisation. Concevez les rôles autour des postes et des tâches.
3. Mélanger applications critiques et courantes dans un même catalogue. Toute personne disposant du rôle peut accéder à chaque application du catalogue via la recherche et l'app finder, même lorsque l'application ne figure sur aucune page.
4. Autorisations OData génériques en on-premise. Accorder tous les services avec S_SERVICE défini sur un astérisque est pratique dans un bac à sable ; SAP recommande des autorisations service par service en production.
5. Confondre affectation de rôle et déploiement. Les utilisateurs qui reçoivent un rôle sans space ni pages pertinents se retrouvent face à une page d'accueil quasi vide ou déroutante.

La plupart des problèmes de business roles sont des décisions de conception prises trop tôt ou trop tard, et une revue de business role doit couvrir ensemble les catalogues, les spaces et les autorisations.