SAP 用户权限管理系统（AMS-V 安全网关）产品是应用于SAP系统权限风险控制及注册用户账号管理为目标的SAP软件资产精益化管理方案。

SAP 用户权限管理系统使用SAP GUI标准访问协议，在线实时管理用户账号操作，精益化管理SAP license 账号资源；在不改变用户操作习惯的同时，实现账号高效优化、权限的实时动态分配、日志的记录追溯，极大的降低SAP系统的使用成本、提高SAP系统软件资产的使用效率，并能有效控制系统权限管理风险和系统审计风险。

SE93 查询所有TCODE

或者 table: tstc

SE16 display

SUIM 查询用户信息的报表们

技术流

SAP常用的TCODE—BASIS

事务码 描述 ( 中英文 )

SBIT Menu 菜单

SBTA Test background processing 后台处理测试

SBTU Background processing for user 对用户的后台处理

SM36 Define Background Job 定义后台作业

SM37 Background Job Overview 后台作业概览

SM39 Job Analysis 作业分析

SM49 Execute external OS commands 执行外部 OS 命令

SM61 Menu 菜单

SM62 Menu 菜单

SM63 Display/Maintain Operating Mode Sets 显示 / 保持操作方式设置

SM64 Release of an Event 事件的释放

SM65 Background Processing Analysis Tool 后台处理分析工具

SM67 Job Scheduling 作业调度

SM68 Job Administration 作业管理

SM69 Maintain external OS commands 维护外部 OS 命令

SMX Display Own Jobs 显示自己的作业

SPBM Monitoring parallel background tasks 监控类似的后台任务

SPBT Test: Parallel background tasks 文本 : 匹配后台任务

DB16 DB system check (trigger/browse) DB system check (trigger/browse)

DB17 DB system check (configure) DB system check (configure)

DB20 No.of table tupels acc. to stat. No.of table tupels acc. to stat.

DB21 Maintenance control table DBSTATC Maintenance control table DBSTATC

RZ01 Job Scheduling Monitor 作业计划监视器

RZ02 Network Graphics for SAP Instances 网络图 SAP

RZ04 Maintain SAP Instances 保持 SAP 实例

RZ06 Alerts Thresholds Maintenance 警报门限维护

RZ08 SAP Alert Monitor SAP 报警监视器

RZ12 Maintain RFC server group assignment 维护 RFC 指定服务器组

SM66 Systemwide Work Process Overview 系统工作过程概述

SMLG Maintain Logon Group 维护登录组

SRZL Menu 菜单

SM02 System Messages 系统消息

SM04 User Overview 用户概览

SM13 Display Update Records 显示更新记录

SM50 Work Process Overview 工作进程概述

SM51 List of SAP Servers SAP 服务器的清单

SM54 TXCOM maintenance TXCOM 维护

SM55 THOST Maintenance THOST 维持

SM56 Number Range Buffer 数字范围缓冲区

SMGW Gateway Monitor 网关监控器

ST07 Application monitor 应用程序监视器

AL01 SAP Alert Monitor SAP 报警监视器

AL02 Database alert monitor 数据库警报监测器

AL03 Operating system alert monitor 操作系统警告监视器

AL04 Monitor call distribution 监视呼叫分配

AL05 Monitor current workload 监视当前的工作负荷

AL06 Performance: Upload/Download 执行 : 上载 / 下装

AL07 EarlyWatch Report 初期察看报告

AL08 Users Logged On 登录的用户

AL09 Data for database expertise 专家数据库的数据

AL10 Download to Early Watch 下载早观察

AL11 Display SAP Directories 显示 SAP 目录

AL12 Display table buffer (Exp. session) 显示表缓冲

AL13 Display Shared Memory (Expert mode) 显示共享内存 ( 输出方式 )

AL15 Customize SAPOSCOL destination 自定义 SAPOSCOL 目的地

AL16 Local Alert Monitor for Operat.Syst. 操作系统的本地报警监视器

AL17 Remote Alert Monitor f.Operat. Syst. 操作系统的远程报警监视器

AL18 Local File System Monitor 本地的文件系统监视器

AL19 Remote File System Monitor 远程文件系统监视器

AL20 EarlyWatch Data Collector List EarlyWatch 数据收集器清单

AL21 ABAP Program analysis ABAP Program analysis

AL22 Dependent objects display Dependent objects display

DB01 Analyze exclusive lockwaits 分析互斥锁定等待

DB02 Analyze tables and indexes 分析表和索引

DB03 Parameter changes in database 在数据库中参数改变

DB05 Analysis of a table acc. to index Analysis of a table acc. to index

DB11 Early Watch Profile Maintenance 初期察看描述文件维护

DB12 Overview of Backup Logs 备份日志的概观

DB13 Database administration calendar 数据库管理日历

DB14 Show SAPDBA Action Logs 显示 SAPDBA 行为记录

DB15 CCMS – Document archiving CCMS – Document archiving

OS01 LAN check with ping 通过 ping 检查 LAN

OS02 Operating system configuration 操作系统配置

OS03 O/S Parameter changes O/S 参数更改

OS04 Local System Configuration 本地的系统配置

OS05 Remote System Cconfiguration 远程系统配置

OS06 Local Operating System Activity 本地的操作系统作业

OS07 Remote Operating System Activity 远程操作系统活动性

OSS1 Logon to Online Service System 注册到联机服务系统

SDBE Explain an SQL statement 匹配码对象（测试）

ST02 Setups/Tune Buffers 设置 / 调谐缓冲

ST03 Performance,SAP Statistics, Workload 性能 ,SAP 统计 , 工作负荷

ST04 Select DB activities 选定数据库中的活动

ST05 Trace for SQL, Enqueue, RFC, Memory SQL 跟踪

ST06 Operating System Monitor 操作系统监视器

ST08 Network Monitor 网络器

ST09 Network Alert Monitor 网络敬报器

ST10 Table call statistics 表调用统计

ST4A Database: Shared cursor cache (ST04) Database: Shared cursor cache (ST04)

STAT Local transaction statistics 本地事务统计

STP4 Select DB activities Select DB activities

STUN Menu Performance Monitor 菜单性能监视器

TKOF Turn off Oracle trace 关闭 Oracle 跟踪

TKON Turn off Oracle trace 关闭 Oracle 跟踪

TKPR Display trace file 显示跟踪文件

TU01 Call Statistics 调用统计

TU02 Parameter changes 参数改变

SP00 Spool and related areas 假脱机及相关区域

SP01 Output Controller 输出控制

SP02 Display Output Requests 显示输出请求

SP03 Spool: Load Formats 假脱机 : 载入格式

SP1T Output Control (Test) 输出控制（测试）

SPAD Spool Administration 假脱机管理

SPAT Spool Administration (Test) 假脱机管理（测试）

SPCC Spool consistency check 假脱机一致性检查

SPIC Spool installation check 假脱机安装检查

SPTP Text elem. maint. for print formats 用于打印格式的文本元素维护

SP11 TemSe directory TemSe 目录

SP12 TemSe Administration TemSe 管理

SE92 Maintain System Log Messages 维护系统日志消息

SM20 System Audit Log 系统审计日志

SM21 System Log 系统日志

S001 CASE 工具菜单 CASE 工具菜单

S002 Menu Administration 菜单管理

SDW0 ABAP/4 Development WB Initial Screen ABAP/4 开发工作台初始屏幕

SYST Menu 菜单

SDMO Dynamic Menu (old) 动态菜单 ( 旧 )

SMEN Session Manager Menus 会话管理菜单

SU55 Call the Session Manager menus 调用会话管理菜单

RE_GGREPO1 Test report 1 测试报表 1

RE_GGREPO2 Test report 1 测试报表 1

SU24 Auth. obj. check under transactions 事务中权限对象检查

SU25 Upgrade Tool for Profile Generator 配置文件生成器的升级工具

SU26 Upgrade tool for Profile Generator 配置文件生成器的升级工具

SUPC Profiles for activity groups 作业组的参数文件

SUPN Number range maint.: PROF_VARIS 编码范围维护 : PROF_VARIS

SUPO Maintain org. levels 维护初始级别

SM0 Work Process Overview 工作处理概述

SU02 Maintain Authorization Profiles 维护权限参数文件

SU03 Maintain Authorizations 维护权限

SU10 Mass Changes to User Master Records 对用户主记录的大量修改

SU12 Mass Changes to User Master Records 用户主记录的大量修改

SU2 Maintain user parameter 维护用户参数

SU20 Maintain Authorization Fields 维护权限字段

SU21 Maintain Authorization Objects 维护权限对象

SU22 Auth. Object Usage in Transactions 事务中权限对象的用法

SU23 Load Tables in TAUTL 在 TAUTL 中装入表

SU52 Maintain User Parameters 维护用户参数

SU53 Display Check Values 显示检查值

SU54 Session Manager 会话管理器

SU56 Analyze User Buffer 分析用户缓冲区

SU80 Archive user change documents 存档用户更改文档

SU81 Archive user password change doc. 归档用户口令更改文档

SU82 Archive profile documents 档案参数文件文档

SU83 Archive authorization docs. 存档授权文档

SU84 Read archived user change documents 阅读已存档的用户修改文档

SU85 Read archived password change doc. 阅读已存档的口令修改文档

SU86 Read profile change documents 读参数文件更改文档

SU87 Read authorization change documents 读授权更改文档

SU96 Table maint.: Change SUKRIA 表维护：修改 SUKRIA

SU97 Table maint.: Display SUKRIA 表维护：显示 SUKRIA

SU98 Call report RSUSR008 调用报表 RSUSR008

SU99 Call report RSUSR008 调用报表 RSUSR008

SUIM Call AUTH reporting tree (info sys.) 调用 AUTH 报表树（信息系统）

SU01 User Maintenance 用户维护

SU01_NAV User maint. to include in navigation 包含在导航中的用户维护

SU01D User Display 用户显示

SU3 Maintain Users Own Data 维护用户自己的数据

SE01 Transport Organizer 传送组织者

SE03 Workbench Organizer: Tools 工作台组织器：工具

SE06 Set Up Workbench Organizer 设置工作台组织器

SE07 Transport System Status Display 传输系统状态显示

SE09 Workbench Organizer 工作平台组织者

SE10 Customizing Organizer 自定义组织者

SE17 General Table Display 通用表显示

STDR TADIR consistency check TADIR 一致性检查

通常basis会使用PFCG做权限管理,时你保存时会产生一个系统外的profile name,

记得SU01时用户有profile 和role两栏位吗?它们的关系如何呢?

首先明白几个概念.

1.activity

这样说吧,我们从activity谈起,activity是什么意思这个你查下

字典也就知道了,对就是规定可做什么动作,比如说不能吸烟只能喝酒,不能多于2两,

不对,这是我老婆讲的,SAP不是这样子的,是只能insert, update,display什么的.

这些东西当年德国佬是写在tobj表中的.

activity 也是可分activity group的.

2.activity category &Authorization group

Role Vs Profile

你看看表T020就知道了,就是什么K,D, A, M什么的.

profile是什么呢?实际上可以理解为所有的authorization data(有很多authorization group–{你可使用OBA7填写,权限太细也不是好事^_^}和activity组成)的一个集合的名字,通常一个自定义的role产

生一个profile,SAP权限控制是根据profile里的authorization data(objects)来控制的.

role又是什么呢?role只是一个名字而已,然后将profile赋予给它, 比如你SU01建立一个

用户,我没有任何role,但是加如SAP_All profile也是可做任何事情.

SAP本身有很多default role & profile.

3.最常用的PFCG->authorizations->change authorization data->

进入后选取selection criteria 可看到所有的authorization object

manually可手工加authorization object,比如你使用某个t-code权限出错误,abap使用SU53检查就

知道缺少哪个authorization objec,然后手工加入就可以.

你选去authorization levels就可by account type再细分权限.

有些甚至直接到表字段.而且你甚至可給一个object分配缓存buffer.

那么SAP是如何做到权限控制的呢,屠夫就用刀小宰一下.

4.关于权限方面的几个t-code.

(一)Role(角色)相关T-code:

PFAC 标准

PFAC_CHG 改变

PFAC_DEL 删除

PFAC_DIS 显示

PFAC_INS 新建

PFAC_STR

PFCG 创建

ROLE_CMP 比较

SUPC 批量建立角色profile

SWUJ 测试

SU03 检测authorzation data

SU25, SU26 检查updated profile

(二)建立用户相关T-code:

SU0

SU01

SU01D

SU01_NAV

SU05

SU50, Su51, SU52

SU1

SU10 批量

SU12 批量

SUCOMP:维护用户公司地址

SU2 change用户参数

SUIM 用户信息系统

用户组

SUGR:维护

SUGRD:显示

SUGRD_NAV:还是维护

SUGR_NAV:还是显示

(三)关于profile&Authoraztion Data

SU02:直接创建profile不用role

SU20:细分Authorization Fields

SU21(SU03):****维护Authorization Objects(TOBJ,USR12).

对于凭证你可细分到:

F_BKPF_BED: Accounting Document: Account Authorization for Customers

F_BKPF_BEK: Accounting Document: Account Authorization for Vendors

F_BKPF_BES: Accounting Document: Account Authorization for G/L Accounts

F_BKPF_BLA: Accounting Document: Authorization for Document Types

F_BKPF_BUK: Accounting Document: Authorization for Company Codes

F_BKPF_BUP: Accounting Document: Authorization for Posting Periods

F_BKPF_GSB: Accounting Document: Authorization for Business Areas

F_BKPF_KOA: Accounting Document: Authorization for Account Types

F_BKPF_VW : Accounting Document: Change Default Values for Doc.Type/PsKy

然后你进去还可细分,这些个东西是save在USR12表中的. 在DB层是UTAB.

对具体transaction code细分:

SU22,SU24

SU53:*** 就是你出错用来检查没有那些authoraztion objects.

SU56:分析authoraztion data buffers.

SU87:用来检查用户改变产生的history

SU96,SU97,SU98,SU99:干啥的?

SUPC:批量产生role

DB和logical层:

SUKRI:Transaction Combinations Critical for Security

tables:

TOBJ : All avaiable authorzation objects.(全在此)

USR12: 用户级authoraztion值

—————————–

USR01:主数据

USR02:密码在此

USR04:授权在此

USR03:User address data

USR05:User Master Parameter ID

USR06:Additional Data per User

USR07:Object/values of last authorization check that failed

USR08:Table for user menu entries

USR09:Entries for user menus (work areas)

USR10:User master authorization profiles

USR11:User Master Texts for Profiles (USR10)

USR12:User master authorization values

USR13:Short Texts for Authorizations

USR14:Surchargeable Language Versions per User

USR15:External User Name

USR16:Values for Variables for User Authorizations

USR20:Date of last user master reorganization

USR21:Assign user name address key

USR22:Logon data without kernel access

USR30:Additional Information for User Menu

USR40:Table for illegal passwords

USR41:当前用户

USREFUS:

USRBF2

USRBF3

UST04:User Profile在此

UST10C: Composite profiles

UST10S: Single profiles (角色对应的

UST12 : Authorizations…………………………

企业上SAP软件为何选择赛锐信息作为实施商?

1、致力于SAP ERP系统应用的服务商；

2、已为国内200多家SAP系统客户的ERP信息化建设提供了咨询及实施服务；

3、拥有完善的产品策划、研发、实验、测试、质量控制过程；

4、公司自主研发的AMS系列软件产品是国内首个用于SAP权限风险识别的增强系统；

5、为用户管理、风险规避和信息审计提供辅助工具；

6、帮助用户规范企业的管理行为，建立合规的管控流程，有效提高企业IT资产投资回报率；

7、技术指标上拥有完全的、独立的领先优势，可以满足市场竞争、技术许可和标准制定等方面的需要；