Business Role

Uma business role responde a uma pergunta para o SAP Fiori Launchpad: o que este usuário pode ver e fazer? Ela faz isso por meio de três tipos de conteúdo:

• Business catalogs decidem quais apps um usuário pode alcançar. Cada catálogo referencia tiles e target mappings, de modo que os catálogos de uma role definem tanto o conteúdo do app finder quanto quais intents podem ser resolvidos.
• Spaces do launchpad (e as pages dentro deles) decidem o layout da home page. Um space atribuído a uma role fica visível para todo usuário com essa role.
• Autorizações decidem o que o usuário pode fazer depois que um app abre. No on-premise, são os objetos de autorização da role PFCG, incluindo as autorizações de início dos serviços OData que os apps chamam. Na Cloud Public Edition, vêm dos business catalogs e são restringidas por restrições como empresa.

Um usuário normalmente tem várias business roles, e o launchpad mescla o conteúdo delas. Uma business role é, portanto, a atribuição única que conecta uma pessoa ao conteúdo, ao layout e ao acesso a dados do SAP Fiori.

No on-premise e no SAP S/4HANA Cloud Private Edition, uma business role é uma role PFCG cujo menu contém entradas do SAP Fiori launchpad. O caminho habitual:

1. Partir de uma role template entregue pela SAP (SAP_BR_*), por exemplo SAP_BR_PURCHASER, e copiá-la para o namespace do cliente.
2. No menu da role, adicionar business catalogs e spaces do launchpad. Quando um catálogo é adicionado com suas aplicações incluídas, a PFCG traz os valores padrão de autorização dos apps que ele referencia, incluindo as autorizações de início de serviços OData.
3. Manter os valores de autorização restantes, gerar o perfil e atribuir usuários.

A task list de ativação rápida SAP_FIORI_CONTENT_ACTIVATION pode gerar business roles e usuários de teste a partir de templates SAP, o que é útil para explorar o conteúdo entregue em um sistema de teste. No on-premise, uma business role é a manutenção comum de role PFCG com conteúdo SAP Fiori adicionado ao menu.

Na Cloud Public Edition não há acesso à PFCG. Os administradores trabalham com outro conjunto de apps SAP Fiori:

• Business Role Templates lista os templates que a SAP entrega, cada um com seus business catalogs e a atribuição de space do launchpad.
• Maintain Business Roles cria uma business role a partir de um template ou do zero, adiciona business catalogs e spaces e mantém restrições por categoria de acesso (gravação, leitura, ajuda de valores).
• Business Catalogs e Display Restriction Types documentam o que cada catálogo concede e quais restrições ele expõe.

Quando uma role é criada a partir de um template, revise as categorias de acesso de gravação, leitura e ajuda de valores por tipo de restrição, para que o acesso de gravação seja um passo deliberado. Onde os catálogos suportam apps IAM, variantes de autorização de apps individuais podem ser ativadas ou desativadas. Se um usuário tem várias roles com o mesmo tipo de restrição, mas valores diferentes, o sistema os agrega, o que pode ampliar o acesso de forma inesperada. Na Cloud Public Edition, uma business role é construída a partir de catálogos e restrições gerenciados pela SAP, e não a partir de objetos de autorização.

Percorra as camadas em ordem:

1. Nenhum tile na home page, mas o app é encontrado pela pesquisa. O catálogo está na role, mas o app não está em uma page de nenhum space que o usuário tem. Adicione-o a uma page ou atribua o space correto.
2. Tile visível, a navegação falha. O target mapping por trás do tile não é alcançável pelos catálogos do usuário, ou suas regras de dispositivo ou de parâmetros não correspondem. No on-premise, execute a /UI2/FLIA para o usuário e o intent.
3. O app abre e depois mostra um erro de autorização ou nenhum dado. Falta a autorização de início do OData ou uma autorização de negócio. No on-premise, verifique a SU53 ou registre as verificações com a STAUTHTRACE no sistema em que a verificação falha. Na Cloud Public Edition, revise as restrições da role e use o app Display Authorization Trace.
4. A role foi alterada, mas o usuário não vê nada novo. No on-premise, o perfil pode não ter sido regenerado ou a atribuição de usuários pode não ter sido comparada.

Um app ausente é quase sempre um problema de composição da business role, não um app quebrado.

1. Editar templates SAP em vez de cópias. Os templates SAP_BR_* são referências; as alterações pertencem a cópias no namespace do cliente, senão upgrades e correções ficam difíceis de comparar.
2. Uma role por pessoa. Roles desenhadas em torno de indivíduos se multiplicam rapidamente e quebram a cada reorganização. Desenhe roles em torno de posições e tarefas.
3. Misturar apps críticos e comuns em um catálogo. Qualquer pessoa com a role pode alcançar todos os apps do catálogo pela pesquisa e pelo app finder, mesmo quando o app não está em uma page.
4. Autorizações OData com curinga no on-premise. Conceder todos os serviços com S_SERVICE definido como asterisco é cômodo em um sandbox; a SAP recomenda autorizações de serviço individuais em produção.
5. Tratar a atribuição de roles como o rollout. Usuários que recebem uma role sem um space e pages significativos encontram uma home page quase vazia ou confusa.

A maioria dos problemas de business role são decisões de desenho tomadas cedo ou tarde demais, e uma revisão de business role deve cobrir catálogos, spaces e autorizações em conjunto.