很多 SAP 系统到了月结、年结、盘点、上线切换这些窗口期,权限问题会突然变得很敏感。业务希望临时开放一些操作,Basis 和安全团队又担心权限放出去以后忘了收回。更麻烦的是,角色已经分配到用户主数据里,表面上看 PFCG 维护得很规整,可用户实际登录后仍然没有权限,或者过期角色还残留在用户主数据中。这里面最容易被忽略的一层,就是 Role Assignment、Generated Profile 和 User Master Record 之间的同步关系。
SAP 的角色管理不是简单地把一个 Profile 塞进 SU01 就结束。标准思路是通过 PFCG 或 SU01 的 Roles 页签维护用户和角色之间的关系,再通过 User Comparison 把角色生成的 Authorization Profile 写入用户主数据。SAP 官方资料明确提到,角色分配本身不会立刻把授权真正赋给用户,必须经过用户比较,角色的 Profile 才会进入 User Master Record。对于存在时间限制的角色分配,还建议把比较程序作为后台作业周期运行。(SAP Learning)