集中部署模式下的ERP系统授权管理

集中部署模式下的ERP系统授权管理

【信息化】服务器整合架构方案是优化企业IT资源的有效手段，更是最大限度实现企业集中管控，实现企业业务流程及数据标准化与统一化最有效的方式，是国际一流公司所尽力采用的ERP系统架构方案。集中部署模式可以有效支撑中国海油实现其战略目标，在统一的信息平台上整合六大产业板块所形成的产权纽带联系，在总公司集中化管理下，协调发展，发挥整体综合优势。同时在决策层的信息提供方面，采用集中方式能非常高效的向集团决策层面提供及时、真实的业务信息。

但是集中部署模式在ERP系统授权管理方面也带来了众多挑战，包括复杂的业务环境下并存的大量的用户;业务集中在一个client中处理，信息面临被越权读取的危险等。伴随着ERP实施和应用的不断深入，一些由于集中部署模式所引发的权限问题逐渐暴露出来，从规避权限风险和优化业务应用的角度出发，统一清理生产系统现有的过度授权问题，并建立更为规范的权限配置管理机制势在必行。

解决集团层面的过度授权问题

由于在ERP项目实施期间，部分集团管控策略不明确而造成部分二级单位用户拥有集团管控的业务操作或系统管理权限。针对这种授权过度的情况，首先要更新和明确现有的集团管控权限要求，并以此为据清除ECC生产系统范围内各二级单位的集团管控过度授权问题。具体的解决方案是：首先，从“事务代码”管控层面和“权限对象”管控层面分别查找生产系统存在违背权限管控要求的角色。其中， “事务代码”管控限定由集团层面统一操作、不可下放给各二级单位的业务操作TCode; “权限对象”管控限定由集团层面统一操作、不可下放给二级单位的业务数据操作范围。其次，依据管控要求在开发系统中修改对应的本地角色，并传输测试系统供内部顾问测试。针对不同类型的角色修改内容，对应的测试内容如下：

1)对于依据“事务代码”层面要求修改的角色，反向测试管控TCODE是否已被正确删除;在正向测试方面，SAP确保了某一TCODE的删除不会影响到对应角色中的其他原有TCODE的正常操作，因此无需进行角色中剩余TCODE的正向测试。

2)对于依据“权限对象”层面要求修改的角色，反向测试对应的TCODE操作是否已遵照集团管控要求，有效的限制了业务数据的操作范围;正向测试，需检查与被修改权限对象相关的角色中，其他原有TCODE的操作是否不受影响。

最后，在得到测试通过的确认后，将修改完成的、已去除集团管控权限的角色传输生产系统。

解决跨单位的越权数据访问

由于集中部署模式的背景，SAP系统全球通用的权限控制实现与企业TCODE的个性化业务需求之间存在差异，加之从事权限工作的人员经验不足，导致ECC生产系统的部分二级单位用户拥有跨单位的业务操作以及数据访问权限，这直接影响到其他单位的数据安全。在技术层面上，具体表现为用户所操作的TCODE无法有效的实现必需的权限控制。

因此首先需要分析、明确当前生产系统中在用TCODE的权限控制点的控制效果。将生产系统中的在用TCODE基本分为以下三类：TCODE有权限控制点但没有提出控制;TCODE权限控制点不满足业务需求;TCODE权限控制点无效：中国海油采取了TCODE权限字典+角色的权限梳理相结合的解决方案：

即首先组织ECC生产系统所有在用的TCODE清理，解决TCODE层面跨SITE的权限问题，并在此基础上整理、形成TCODE权限字典。该宇典中包含中国海油当前ECC生产系统所有在用的TCODE以及权限控制点。然后，以整理形成的TCODE权限字典为基础，梳理二级单位内部的跨SITE访问问题。根据权限梳理的结果，修改角色并组织测试。

通过这种解决方案所形成的TCODE权限字典，用于规范在实施单位的本地角色设计以及已上线单位的权限需求变更，有效地减少“有权限控制点但没有提出控制”的TCODE权限问题。同时TCODE权限字典可作为针对未来海油权限配置问题的梳理依据，确保跨SITE权限访问安全状态的延续。

通过在以上两方面所采取的措施和解决方案的实施，使得生产系统存在的过度授权和越权读取数据问题到了有效控制，增加了集团管控的力度，使得数据管理更加安全和规范。