企业资源管理系统(ERP)权限管理策略.doc

基于SAP权限体系的管理策略 黄海潮、查志杰 中文摘要：本文通过企业资源管理系统（ERP）项目实施的总结和汇总，对企业资源管理系统（ERP）的权限管理进行规范化的管理实施策略，形成一套比较成熟并长期可用的数据安全保障屏障。本文介绍企业资源管理系统(ERP)在权限管理的架构，设计思路，实施方法论和整体权限的策略。企业资源管理系统（ERP）的权限工作日常严格遵守的实施标准，并根据系统 建立一套由用户、运维人员、业务专业人员和技术专业人员共同参与的权限管理机制。 关键词：权限技术；管理制度；解决方案首先对SAP系统的模块分类和管理现状进行了描述，对SAP的权限实现原理、管理制度、建立机制等内容进行了详细阐述，通过分析SAP项目推进的过程 中在权限管理方面遇到的一些问题，确立了适合SAP项目推进的权限管理策略和流程，以及权限管理的详细解决方案。SAP是以财务为核心，资产管理为主线的集成的管理系统。以流程管理的理念，打破了传统以职能管理为核心的管理模式,为企业的核心业务管理提供了一个一体化、企业级的信息平台。任何多用户的系统不可避免地涉及到权限问题，SAP系统也不例外。由于系统的使用者多、使用者的分工复杂、加上人员岗位调动、退离休等情况，难免会造 成系统权限分配混乱的问题，对系统的正常运行和业务流程的正常流转存在着很大隐患，所以对SAP系统的权限控制就显得尤为重要了。 SAP R/3系统权限体系引用了账号、角色、参数文件、授权对象、字段等权限概念，结合系统中企业组织架构及业务处理的配置等对用户进行权限控制。同时SAP R/3系统采用了多数据库集成技术，并通过设计大量的数据表记录各事务处理的权限检查情况及系统用户的授权情况。 用户：具体操作SAP系统的用户，即登陆SAP Logon输入的用户。使用事物码SU01创建一个新的用户ID，默认的权限是空白的，不允许任何操作。 单一角色：简单的说就是一个事物码的集合。其中包含了控制事物码操作的“权限对象”、“权限字段”以及允许的操作及允许的值。用事物码PFCG维护。单一角色是相对应复合角色而言的。 复合角色：又叫通用角色，即是多个单一角色的集合。复合角色中可以包含多个单一角色，此复合角色包含了这多个单一角色所控制的权限。复合角色还可以维护具体的“权限对象”、“权限字段”以及允许的字段值及字段操作。图1 权限架构设计 第一：将操作的的事务代码放在一起做成角色； 第二：给这些角色加入组织架构，譬如角色A属于工厂1000，那么该角色就只能操作工厂1000下面的权限； 第三：建立权限对象，SAP系统权限一般分为创建、更改、显示三种，可以将这些权限对象分配给角色，这样角色就只能做指定权限对象的操作； 第四：建立复合角色。复合角色可以将角色的集合打包，针对几个角色特定的权限； 第五：建立每个人的用户ID； 第六：将角色分配给用户ID； 第七：可以将用户分配给用户组进行分组管理； 权限具体实施与管理 企业资源管理软件系统权限实施的全部流程包括岗位信息收集和分析、各层次角色设计与创建、用户清单及权限分配、权限配置、权限测试、角色传输、上线支持等阶段。以下以集团型企业为例对权限实施各阶段的主要工作内容加以阐述. 通用角色的设计与创建： 权限顾问负责下发岗位信息模板，由集团人力资源部门负责提供，由各模块顾问负责提供通用角色设计文档。 本地角色和特殊角色的设计与创建： ERP项目实施模块顾问根据通用角色模板，提交本地角色设计文档和特殊角色设计文档。 岗位角色的设计与创建： 各公司关键用户提交岗位角色设计和用户权限分配文档。 用户账号的创建与权限测试： 权限顾问实施完成权限配置后，关键用户在顾问指导下进行权限测试，如有文档，填报权限测试文档反馈给权限顾问进行分析并修改完善。 角色传输： 权限测试通过后，将在测试系统中创建的角色传输至生产系统，开始上线投入使用。 运维支持阶段： 在上线期结束后系统进入运行维护阶段，此期间各公司最终用户在业务操作过程中发现权限问题，通过填写权限变更申请表提交问题，根据权限变更流程进行处理。 以下针对权限设计、权限测试、权限反向查找和建立权限管理运维制度等几个方面进行阐述： 1．权限设计 ERP项目的权限设计严格遵守SAP系统的权限设计标准，遵循如下步骤： 图2-- SAP的权限设计步骤 1）从客户需求出发，根据前期的业务蓝图成果，明确各部门、岗位的职责； 2）根据岗位职责进行通用角色权限设计，如工资数据维护角色、合同信息查询角色； 3）根据通用角色权限设计进行复合角色设计，如人力资源部劳动组织专责角色； 4）根据复合角色结果提供权限模板，进行用户收集，并将用户名与角色匹配。 在设计的过程中，重点注意以下关键点： 首先，确保在纵向，下级单位不能查看上级单位的各类人资信息，而上级单位拥有查看下级