论文导读：平台提供了DelegatedUserAdministration的授权方式来实现用户分级授权制度。用户分级授权模型如图1所示。降低权限管理的工作量。需要对企业门户已存在的用户进行整理。
关键词：SAP，企业门户，分级授权，权限管理
0 引言
随着信息技术改革的深入发展，越来越多的企业开始建立企业门户。科技论文，权限管理。企业门户不再仅仅是传统意义上的网站概念，而是各种应用系统、数据资源等统一的集中入口，具有大统一、大集成的性质[1]。因此，企业门户的权限管理是首要重点。有没有进行权限管理的有效方法？如何最大化发挥企业门户的作用？这些都是我们需要思索解决的问题。针对大型企业的实际需求，我们需要将企业划分成多个分公司或子公司，或者能够划分成多个具有相同性质的集合，通过分级授权，实现用户和权限的分级管理，确保系统的数据安全，提高管理员的工作效率。
1 SAP EP和角色
1.1 SAP EP
SAPEnterprise Portal（以下简称SAP EP）是一种基于角色的企业门户，它提供了开放式的、以人为中心的企业门户，以个性化的、简便的方式集成了所有相关的信息、应用和服务。SAP EP可以帮助实现不同分支机构和不同用户之间的业务协同，为用户访问各类数据、应用和服务提供了统一的入口。同时，根据每个用户使用特点和角色的不同，形成个性化的应用界面，并通过对事件和消息的传输处理把用户有机地联系在一起[2-4]。
1.2 角色
角色（Role）是人员与过程之间的联系。角色定义了一个活动集，以及信息和服务的所有来源，这些都是用户实现其预期业务目标所需要的。角色，而非人员，定义了如何完成一个业务流程，以及业务流程如何实现特定的业务目标。流程包装在角色中，角色负责确保流程任务能够得到执行。科技论文，权限管理。因此，角色不能脱离业务流程而真实存在，这个（或这些）业务流程定义了必要的活动集。
2 分级授权的模型
SAP EP平台提供了DelegatedUser Administration的授权方式来实现用户分级授权制度。它允许用户在一些管理员中分配用户管理权限的工作，所以每个管理员负责一组特定的用户。例如系统管理员可以为他的公司中的每个工作范围指派用户管理员，每名管理员就能对他所负责的范围内的用户进行新建、修改和删除等操作。它使用Company来执行特定工作范围的管理员划分工作，通过分配用户到Company，把用户划入不同的管理单元，而每个Company就可以由一个或多名管理员来负责管理。同时，用户管理员可以在其权限范围内，把不同的角色赋予Company内的用户。用户分级授权模型如图1所示。
图1 用户分级授权模型
3 分级授权的实现
3.1 规划阶段
首先，要确定根据什么性质划分Company，这里的划分允许多重性质的。科技论文，权限管理。例如可以对企业的每个分公司或子公司划分一个Company，如果针对人数多的企业，可以为销售团队、业务团队等划分不同的Company。但是，不管如何划分，每个用户只能属于一个Company。其次，要确定Company的命名规则，以免造成用户划分的错误和管理的混乱。
SAP EP中Company组是自动产生的，STPD_为系统自动添加的前缀，后面才是用户自己命名的Company名称，例如STPD_CompanyA。
3.2 建立Company
（1) 进入目录<EPDrive>:\usr\sap\<SID>\JC01\j2ee\configtool，使用configtool.bat,启动ConfigTool。
（2) 选择 ，修改ume.tpd.companies 的参数为：CompanyA,CompanyB，公司的名称之间用逗号隔开，如图2所示。
图2 建立Company
（3) 点击Set 按钮然后点击主菜单上的保存按钮出，重启SAP EP。
3.3 创建分级管理员组
Company建立后，需要给相关用户分配具有分级授权的权限了。这里有两种方法，第一种就是直接给每个用户管理员赋予角色“delegated_user_admin_role”，另外一种就是建立用户组，给用户组赋予角色“delegated_user_admin_role”，并把相关用户加入用户组。初一看，感觉第二种方法有点多此一举，事实证明，第二种方法才是正确的选择，特别是后期运行维护简单，能较容易进行授权和权限变更工作，降低权限管理的工作量。下面就第二种方法的实现做详细介绍。
（1）使用具有系统管理员权限的用户登陆SAP EP，在用户管理中新建用户组，输入用户组名称和描述。
（2） 在已分配的角色中查找角色“delegated_user_admin_role”，选中搜索到的结果，点击添加并保存，如图3所示。
图3 用户组赋予角色
（3）在已分配的用户中，把相关用户加入该用户组，这些用户就是分级管理员。
3.4 整理Company用户
Company组自动建立后，需要对企业门户已存在的用户进行整理。首先，把分级管理员加入不同的Company组，使其能对自己所属Company进行用户管理，可以进行用户的添加、删除、修改等操作，用户管理员只允许查看和管理自己所属Company的用户，无法访问其他Company组的用户信息。对于已经建立的其他用户，用户管理员是无权进行任何操作的，只有系统管理员才有权限把不同的用户整理到不同的Company组，用户整理完毕后，用户管理员就有权对所属Company的用户进行操作了。
3.5 授权分级管理员
由于企业门户是各种应用、服务的集中入口，针对每个应用或服务建立了很多角色，分级管理员的权限不仅仅是对用户的增加、删除及修改操作，而且还能实现对角色的分级授权管理。
（1）使用具有系统管理员权限的用户登陆SAP EP，在“系统管理”－>“许可”－>“门户许可”找到需要委托管理的角色，在“许可编辑器”内搜索到想要分配许可权限的组，点击添加按钮。科技论文，权限管理。
（2）为对象选中“角色分配器”选项，点击保存按钮，如图4所示。从图4，我们可以看到，用户组“Delegated_user_xj”中的分级管理员就有权把角色 “r_yahoo”授权给所属Company的用户了。科技论文，权限管理。如果没有创建分级管理员组，就需要把分级管理员一个一个加进去了，角色少的话还能忍受，授权角色一多就得不偿失了，所以创建分级管理员组是非常有必要的。科技论文，权限管理。当然，并不是所有分级管理员对角色的权限是一模一样的，有时候就需要把不同的角色赋予不同的分级管理员。
图4 角色分级授权
4 分级授权的限制
通过分级授权机制，可以将用户管理的权限分配给组织机构中的多级管理员，相应的工作量也得以分散，使得大型企业的用户管理可以灵活高效地运行。当然，SAP EP分级授权也存在一定的限制，这也需要我们在应用中充分考虑：
（1）每个用户只能属于一个Company，这意味着每个分级管理员也只能属于一个Company，因此只能管理所属的Company，不能跨Company进行管理。
（2）对所有Company来说都是同级的，没有层次的概念，因此用户管理也没有层次的概念，分级管理员只能对用户和角色进行管理，不能对组进行任何操作。
5 结语
通过SAPEP分级授权机制的实现，解决了大型企业用户权限管理的难题，有效提高了工作效率，为企业门户的顺利建设与运行发挥重要的作用。当然，并不是所有的企业门户都需要建立分级授权管理，这和企业规模和应用程度密不可分的，企业要根据自身特点，确定最佳用户权限管理机制。
参考文献
[1]乔静,姚青,屈志强.面向中小企业的门户平台体系结构研究与设计[J].中国科技信息,2009(03):88-89.
[2]张宇榕.SAP系统产品成本控制模块中的标准成本和差异分析[J].中国管理信息化,2009,12(06):61-63.
[3]孟岩,杜杰,郭春雷.SAP系统生产计划功能应用[J].科技信息,2009(04):245.
[4]郭春雷,杜杰,孟岩,等.SAP系统数据归档的研究[J].科技信息,2009(04):261.
|
