Annexe : gestion des utilisateurs de job et de leurs autorisations

Après avoir exploré les sujets de la création de modèles, de la gestion des jobs et du suivi des jobs, l'intérêt d'Adam s'étend aux principes fondamentaux du concept des autorisations, en particulier dans les applications Jobs d'application.

Carl explique donc que dans SAP S/4HANA Cloud Public Edition, l'accès des utilisateurs aux objets et aux données est géré via un processus à plusieurs niveaux. Voyons tout cela pour comprendre comment ils travaillent ensemble pour contrôler l'accès des utilisateurs.

Si nous regardons la vue d'ensemble, au début, il y a les utilisateurs fonctionnels. Des rôles utilisateur spécifiques, qui incluent les catalogues fonctionnels et les types de restriction, leur sont affectés. Alors que les catalogues fonctionnels pilotent l'accès aux applications, les types de restriction gèrent l'accès aux données client dans les applications et regroupent plusieurs zones de restriction. À la fin se trouvent les champs de restriction, renseignés avec les valeurs d'autorisation.

Les catalogues fonctionnels dans un rôle utilisateur déterminent les types de restrictions disponibles. Un type de restriction est une unité qui regroupe les zones de restriction disponibles dans une définition logique, telle qu'une société. Ces zones de restriction peuvent être utilisées pour limiter l'accès à un objet de gestion spécifique, comme un domaine organisationnel. Ainsi, les catalogues fonctionnels d'un rôle utilisateur décrivent à quoi un utilisateur fonctionnel peut accéder. Cet accès peut être affiné davantage en limitant la catégorie d'accès pour les zones et les objets auxquels un utilisateur peut accéder. Une catégorie d'accès indique le type d'accès accordé à un utilisateur affecté à un rôle utilisateur, comme l'accès en lecture, en écriture ou à l'aide à la saisie. Ces restrictions d'accès peuvent être modifiées dans le rôle utilisateur à l'aide de l'application Gestion de rôles utilisateur.

Il est essentiel de comprendre l'interaction entre les types de restriction et les catalogues fonctionnels sous la couche Rôle utilisateur des utilisateurs. Un seul type de restriction peut régir l'accès à différents catalogues fonctionnels, influençant ainsi les rôles utilisateur des utilisateurs. En même temps, un catalogue fonctionnel unique peut être associé à de nombreux types de restrictions.

Lors de la gestion d'un rôle utilisateur, la section Catégories d'accès joue un rôle important dans la détermination des restrictions d'accès.

Cette section se compose de trois catégories :

Écrire, Lire, Aide à la saisie : remplace tous les autres, en fournissant des contrôles d'écriture, de lecture et d'aide à la saisie sur toutes les zones de restriction.

Lecture, aide à la saisie : a uniquement des contrôles de lecture et d'aide à la saisie sur toutes les zones de restriction, mais il n'existe pas de contrôle d'écriture.

Aide à la saisie : fournit uniquement les contrôles d'aide à la saisie sur toutes les zones de restriction et est essentiellement une liste de valeurs prédéfinies pour la sélection.

Chaque catégorie offre trois options d'accès possibles :

• Sans restriction
• Restreint
• Aucun accès

Dans la plupart des considérations liées aux restrictions, l'option Restreint est généralement sélectionnée pour affecter les valeurs d'autorisation appropriées aux zones de restriction.

La fenêtre Gérer restrictions est divisée en deux sections, à gauche et à droite. Le coin supérieur gauche fournit une synthèse des catégories d'accès. Si vous souhaitez modifier les catégories d'accès, vous devez développer la section Catégories d'accès au milieu. Vous pouvez accéder à toutes les restrictions en développant les types de restriction affectés.

Le panneau de droite affiche tous les détails de chaque type de restriction :

Valeurs : affectez des valeurs d'autorisation aux zones de restriction.

Description : fournit une explication du type de restriction, y compris son objectif et, parfois, les explications de ces zones de restriction.

Catalogues fonctionnels : répertorie les catalogues fonctionnels pour lesquels ce type de restriction est pertinent.

Les types de restriction qui contiennent des zones de restriction organisationnelle générales sont regroupés dans une section appelée Général. Par conséquent, il existe beaucoup plus de zones de restriction que de types de restriction individuels.

Il est important d'être conscient du potentiel d'outrepasser les restrictions. Imaginez un scénario dans lequel nous avons deux rôles utilisateur, AdminRole_1 et AdminRole_2. Un utilisateur peut souvent se voir affecter plusieurs rôles utilisateur. Si une certaine restriction "A" est présente dans les deux rôles, mais qu'elle est appliquée différemment dans chacun d'entre eux (par exemple, elle est appliquée dans AdminRole_1 mais pas dans AdminRole_2), la restriction "A" de AdminRole_1 sera remplacée pour cet utilisateur. Il en résulte une levée totale de la restriction.

Si vous souhaitez que cette restriction s'applique à tous les catalogues fonctionnels que cet utilisateur possède, le code Restriction principale dans l'application Gestion des rôles utilisateur peut être sélectionné.

L'un des principaux aspects du travail administratif est de fournir l'autorisation appropriée aux utilisateurs fonctionnels. Il s'agit d'un point crucial à prendre en compte afin de permettre aux utilisateurs fonctionnels d'accéder à l'application générale Jobs d'application. En tant que consultant, vous devez être en mesure de fournir des instructions détaillées sur la manière d'exécuter cette tâche.

La création d'un rôle utilisateur est un processus qui implique la sélection des catalogues fonctionnels appropriés. Ces rôles sont essentiels pour gérer l'accès à vos applications. Lorsque vous créez un rôle utilisateur, vous intégrez essentiellement un ou plusieurs catalogues fonctionnels. Ces catalogues prêts à l'emploi contiennent les autorisations qui permettent aux utilisateurs d'utiliser des applications et, si nécessaire, de configurer des restrictions spécifiques à l'instance. Chaque catalogue fonctionnel regroupe des autorisations pour un domaine d'activité spécifique. Une fois qu'un rôle utilisateur est créé, il peut être affecté à plusieurs utilisateurs fonctionnels qui effectuent des activités de gestion similaires.

En tant que personnel administratif, il est essentiel de répertorier toutes les actions requises pour fournir une vue globale. Cela améliore la transparence de l'ensemble du processus pour les utilisateurs fonctionnels non administratifs.

Pour utiliser l'application Modèles de jobs d'application, créez un rôle utilisateur et affectez-lui le catalogue SAP_CORE_BC_APJ_TPL. Cela permet d'accéder aux modèles avec les autorisations Écriture, Lecture ou Aucun accès. Alors que vos propres modèles et ceux fournis par SAP sont accessibles à tout moment, les modèles privés d'autres utilisateurs n'apparaissent pas dans l'application Jobs d'application, mais peuvent être affichés dans l'application Modèles de jobs d'application.

Pour modifier l'accès à l'application Jobs d'application, créez un rôle utilisateur avec le catalogue SAP_CORE_BC_APJ_JCE. Cela vous permet de modifier les types de restriction et de fournir les autorisations nécessaires, par exemple pour les actions sur les jobs d'autres utilisateurs.

Vous pouvez également créer un rôle d'affichage uniquement à l'aide de ce type de restriction. Définissez votre rôle utilisateur avec les zones Entrée du catalogue des jobs d'application et Partie du job d'application. Si le propriétaire du job et l'utilisateur ont besoin d'utilisateurs différents, le propriétaire doit disposer de l'autorisation Créer des jobs d'application pour d'autres utilisateurs.

Il existe un type de restriction spécifique appelé Créer des jobs d'application pour d'autres utilisateurs. Ce type de restriction est utilisé pour permettre à un utilisateur fonctionnel de planifier un job d'application pour le compte d'un autre utilisateur. Dans ce scénario :

• Un utilisateur (l'utilisateur initiateur) est responsable de la configuration et du lancement du job.
• Pendant l'exécution du job, les autorisations de l'autre utilisateur (l'utilisateur cible) s'appliquent.
• L'utilisateur initiateur doit disposer des autorisations nécessaires pour lancer la tâche. Cette approche supprime la nécessité d'accorder l'autorisation de lancement à l'utilisateur cible.

En outre, un utilisateur administratif peut utiliser ce type de restriction pour indiquer les jobs qu'un utilisateur fonctionnel est autorisé à planifier pour le compte d'autres utilisateurs.

En termes plus simples, ce type de restriction permet à un utilisateur de planifier et de lancer un job pour un autre utilisateur, tandis que le job est exécuté avec les autorisations du deuxième utilisateur. L'utilisateur initiateur doit disposer des droits appropriés pour lancer le job et les administrateurs peuvent contrôler les jobs qui peuvent être planifiés de cette manière.

Les actions sur les jobs d'autres utilisateurs peuvent impliquer la suppression d'un job futur, l'interruption d'un job en cours d'exécution, la relance d'un job ou l'affichage d'un journal de job, d'une liste de résultats ou de détails. Ces autorisations sont fournies via des types de restrictions dans les rôles utilisateur appropriés.

Ce type de restriction permet de renseigner les zones Entrée du catalogue des jobs d'application et Partie du job d'application lorsque le mode Restreint est activé. La zone Entrée du catalogue des jobs d'application contient le titre d'une entrée de catalogue de jobs d'application spécifique. La zone Partie du job d'application, d'autre part, contient un segment d'un job d'application. Il peut s'agir du job complet (JOB), de la liste des résultats d'un job d'application (SPOOL) ou du journal d'un job d'application (APPLOG).

Ce type de restriction permet à un utilisateur administrateur d'affecter des autorisations aux utilisateurs, ce qui leur permet d'effectuer des actions spécifiques sur les jobs d'application d'autres utilisateurs qui sont dérivés d'une entrée de catalogue de jobs particulière.

Pour cela, il cite quatre exemples :

Pour permettre à un utilisateur d'afficher les jobs d'autres utilisateurs, y compris les détails du job, sélectionnez Restreint dans la section Lire. Sélectionnez ensuite l'entrée de catalogue de jobs d'application appropriée, puis JOB comme valeur pour la partie Job d'application.

Pour permettre à un utilisateur d'afficher les listes des résultats des jobs d'autres utilisateurs, sélectionnez Restreint dans la section Lecture. Sélectionnez ensuite l'entrée de catalogue de jobs d'application appropriée et JOB et SPOOL comme partie Job d'application.

Pour autoriser un utilisateur à supprimer ou annuler des tâches d'autres utilisateurs, dans la section Écriture, sélectionnez Restreint. Sélectionnez ensuite l'entrée de catalogue de jobs d'application appropriée et JOB comme partie du job d'application.

Pour fournir à un utilisateur une autorisation d'affichage complète pour tous les jobs d'application sans autorisation de modification, dans la section Écriture, sélectionnez Aucun accès. Dans la section Lire, sélectionnez Sans restriction.

Notez que les jobs d'application qu'un utilisateur peut afficher dépendent de la configuration et des autorisations définies dans la vignette de planification de jobs. Le catalogue fonctionnel SAP_CORE_BC_APJ_JCE contient la vignette générale Jobs d'application, qui affiche tous les catalogues. Cependant, de nombreuses applications de gestion ont leur propre vignette de planification de jobs restreinte, qui est limitée à une ou quelques entrées de catalogue de jobs. Si un utilisateur utilise une telle vignette, ses restrictions s'appliquent dans tous les cas, en plus des restrictions des exemples fournis.