PFCG e roles do SAP Fiori
PFCG é a transação de manutenção de roles da SAP que concede acesso ao SAP Fiori on-premise e no Private Edition. O menu de uma role PFCG contém business catalogs e spaces do launchpad, e as autorizações da role incluem as autorizações de início dos serviços OData que os apps chamam, verificadas pelo objeto de autorização S_SERVICE.
Resumo
- Tipo
- Transação (manutenção de roles)
- Camada
- Conteúdo, navegação e acesso
- Entradas de menu do SAP Fiori
- Launchpad Catalog; Launchpad Space / Launchpad Space Template
- Objeto de autorização principal
- S_SERVICE (autorização de início de serviços OData)
- Templates da SAP
- Business roles SAP_BR_*; SAP_FLP_USER e SAP_FLP_ADMIN para o launchpad
- Transações relacionadas
- SU53, STAUTHTRACE, SU25, /UI2/FLIA
- Aplica-se a
- SAP S/4HANA on-premise, Private Edition, SAP ECC com SAP Fiori
Camada: Conteúdo, navegação e acessoOnde se encaixa ▾
Camada: Conteúdo, navegação e acesso
Abrir o mapa de arquitetura →O que a PFCG faz para o SAP Fiori?
A PFCG é a mesma transação de manutenção de roles usada para o SAP GUI, com entradas do SAP Fiori adicionadas ao menu da role. Para o SAP Fiori, uma role PFCG cumpre três funções:
- Conteúdo: os business catalogs definem quais apps o usuário pode acessar; os spaces do launchpad definem o layout da página inicial.
- Autorizações de início: as entradas de S_SERVICE permitem que o usuário chame os serviços OData por trás dos apps.
- Autorizações de negócio: os objetos de autorização habituais, como organização de compras ou empresa, definem quais dados o usuário pode ver e alterar.
A PFCG é onde o conteúdo do SAP Fiori e as autorizações clássicas da SAP se encontram em uma única role.
Como montar uma role do SAP Fiori na PFCG passo a passo?
- Copie um template SAP_BR_*, por exemplo SAP_BR_PURCHASER, para o namespace do cliente. Os usuários também precisam da role de início do launchpad; a SAP entrega a SAP_FLP_USER como template.
- Na aba Menu, adicione SAP Fiori Launchpad → Launchpad Catalog, escolha o front-end server local ou um remoto e selecione o business catalog. Mantenha Include Applications ativo para que os valores padrão de autorização dos apps, incluindo os serviços OData, sejam adicionados.
- Adicione SAP Fiori Launchpad → Launchpad Space com o ID do space, se o release do front-end server suportar spaces.
- Na aba Authorizations, mantenha os valores em aberto e gere o perfil.
- Atribua os usuários e execute a comparação de usuários.
Em uma implantação hub, o sistema back-end precisa de uma role própria com as autorizações de negócio correspondentes; o report PRGN_CREATE_FIORI_BACKENDROLE pode criá-la a partir do menu da role do front-end. Uma role PFCG funcional para o SAP Fiori é montada nesta ordem: conteúdo, autorizações de início e, depois, autorizações de negócio.
Como o S_SERVICE controla o acesso OData?
Toda chamada OData de um app SAP Fiori passa por uma verificação de autorização de início no S_SERVICE. No front-end server, a verificação usa a entrada IWSG do serviço (OData V2) ou a entrada G4BA (OData V4); no sistema back-end, a entrada IWSV se aplica ao OData V2. Quando um catálogo é adicionado com suas aplicações, a PFCG deriva essas entradas automaticamente. O serviço precisa estar ativado, e ter sido chamado uma vez, antes de poder ser atribuído.
Um curinga (S_SERVICE com asterisco) permite que os usuários chamem todos os serviços ativados. A SAP desaconselha isso em produção. O S_SERVICE decide se um app pode sequer se comunicar com seu serviço; as autorizações de negócio continuam decidindo o que o serviço retorna.
O que significam os erros comuns da PFCG para o SAP Fiori?
| Sintoma | Causa provável na role |
|---|---|
| Nenhum tile, app não encontrado na busca | Catálogo ausente, ou está selecionada a opção de menu que oculta o menu no launchpad |
| Tile visível, a navegação falha | O catálogo do target mapping não está nas roles do usuário; verificar com a /UI2/FLIA |
| O app abre e depois mostra um 403 ou "sem autorização" | Entrada de S_SERVICE ausente para o serviço OData do app |
| O app abre com listas vazias | Valores de autorização de negócio ausentes na role do back-end |
Para falhas de autorização, execute a SU53 ou registre as verificações com a STAUTHTRACE no sistema em que a verificação falhou, front-end ou back-end; em uma implantação hub, as verificações do back-end são executadas para o mesmo usuário por meio de uma conexão RFC confiável. A maioria dos erros da PFCG para o SAP Fiori remonta a uma camada ausente da role.
Role PFCG vs. business role no SAP S/4HANA Cloud Public Edition: qual é a diferença?
| Role PFCG (on-premise, Private Edition) | Business role (Cloud Public Edition) | |
|---|---|---|
| Mantida em | Transação PFCG | App Maintain Business Roles |
| Conteúdo do SAP Fiori | Catálogos e spaces no menu da role | Business catalogs e spaces atribuídos à role |
| Autorizações | Objetos e valores de autorização, incluindo S_SERVICE | Restrições por categoria de acesso; os objetos ficam ocultos |
| Ponto de partida | Cópias das roles template SAP_BR_* | Templates de business role |
Ambas são business roles; a PFCG expõe os objetos de autorização, o app de nuvem os abstrai.
Perguntas frequentes
Os apps SAP Fiori ainda precisam de roles PFCG no SAP S/4HANA?
Sim, on-premise e no Private Edition. Catálogos, spaces, autorizações de início de OData e autorizações de negócio são todos concedidos por roles PFCG. Apenas o SAP S/4HANA Cloud Public Edition substitui a PFCG pelo app Maintain Business Roles.
Devo usar S_SERVICE com curinga em produção?
A SAP desaconselha. Um curinga permite que os usuários chamem todos os serviços OData ativados, inclusive serviços de apps que eles não veem. Em vez disso, adicione os catálogos com suas aplicações, para que a PFCG derive as entradas de serviço exatas de que os apps precisam.
Por que a SU53 não mostra nada para um app SAP Fiori com falha?
A SU53 mostra verificações com falha apenas do sistema em que é executada. Desde o ABAP platform 1809, ela lista verificações com falha de todas as instâncias de servidor de aplicação e funciona a partir de qualquer sessão do usuário, então a sessão não é o problema. Os apps SAP Fiori falham dentro de requisições OData, muitas vezes em um sistema diferente daquele em que a SU53 é iniciada. Execute a SU53 ou a STAUTHTRACE nos sistemas front-end e back-end.
Posso usar a PFCG no SAP S/4HANA Cloud Public Edition?
Não. O Cloud Public Edition não oferece acesso à PFCG. Os administradores criam business roles a partir de templates da SAP no app Maintain Business Roles e controlam o acesso a dados por restrições, em vez de objetos de autorização.
Fontes
- SAP Help Portal: Assign Business Catalogs to Roles (ABAP platform)
- SAP Help Portal: Creating Roles on Front-End and Assigning Launchpad Catalogs and Spaces/Pages (SAP S/4HANA)
- SAP Help Portal: Configuring Roles with Launchpad Start Authorizations (ABAP platform)
- SAP Help Portal: Configure Roles for Spaces (ABAP platform)
- SAP Help Portal: Display Authorization Data for User (Changed) — SU53 in ABAP platform 1809
- Aplica-se a
- SAP S/4HANA on-premise · SAP S/4HANA Cloud Private Edition · SAP ERP (ECC)
- Última revisão