SAP FIORI \u2013 architektura dost\u0119pu do aplikacji<\/strong><\/h2>\n\n\n\nSAP FIORI, najpro\u015bciej rzecz ujmuj\u0105c, jest nak\u0142adk\u0105 na system SAP ERP \u2013 obecnie najcz\u0119\u015bciej S\/4 HANA, gdzie jest bazowym rozwi\u0105zaniem. FIORI jest zbudowane na bazie frameworka SAPUI5, kt\u00f3ry oparty jest na technologiach HTML5, CSS i JavaScript. Dzi\u0119ki temu, aplikacje FIORI mog\u0105 by\u0107 rozwijane i dostosowywane z wykorzystaniem nowoczesnych technologii webowych.<\/p>\n\n\n\n
Jednak finalnie i tak dane oraz aplikacje pobierane s\u0105 z systemu SAP S\/4 HANA opartego na j\u0119zyku ABAP, z kt\u00f3rym FIORI jest bezpo\u015brednio zintegrowane. W obecnym podej\u015bciu u\u017cywa si\u0119 konfiguracji SAP FIORI Embedded. Oznacza to, \u017ce zar\u00f3wno frontend jak i backend dzia\u0142aj\u0105 w jednym systemie SAP. Poni\u017cej znajduje si\u0119 schemat obs\u0142ugi dost\u0119pu do aplikacji SAP FIORI:<\/p>\n\n\n\n![\"Architektura](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-01-PL-Architektura-dostepu-do-aplikacji-SAP-FIORI-1024x724.jpg\")
<\/a>Ryc. 1 Architektura dost\u0119pu do aplikacji SAP FIORI (schemat zainspirowany webinarem SAP Fiori Security \u2013 Authorization Debugging<\/a>)<\/figcaption><\/figure>\n\n\n\nWarstwy integracji<\/strong><\/h3>\n\n\n\nJak wida\u0107 na powy\u017cszej grafice, s\u0105 tutaj trzy g\u0142\u00f3wne warstwy takiej integracji, a wi\u0119c:<\/p>\n\n\n\n
\n- Backend Server (BES)<\/strong> \u2013 warstwa logiki biznesowej. W uproszczeniu mo\u017cemy przyj\u0105\u0107, \u017ce jest to nasz system S\/4 HANA. W tej warstwie znajduj\u0105 si\u0119 role biznesowe przypisane do u\u017cytkownik\u00f3w. Zawieraj\u0105 one takie informacje o aplikacjach FIORI jak: katalogi, w kt\u00f3rych si\u0119 znajduj\u0105, serwisy oData (IWSV), transakcje ABAP, z kt\u00f3rych korzystaj\u0105, aplikacje Web Dynpro itp.<\/li>\n\n\n\n
- SAP Frontend Server (FES)<\/strong> \u2013 w du\u017cym uproszczeniu to, co si\u0119 dzieje w tle samego \u015brodowiska FIORI. To w tej warstwie jest wysy\u0142ane \u017c\u0105danie o dany dost\u0119p do systemu Backend poprzez SAP Gateway. Warstwa ta r\u00f3wnie\u017c zawiera role dost\u0119powe z informacjami takimi jak: katalogi, grupy, serwisy oData (IWSG).<\/li>\n\n\n\n
- SAP FIORI Launchpad (FLP)<\/strong> \u2013 ko\u0144cowa warstwa \u2013 wizualna, ju\u017c bezpo\u015brednio dost\u0119pna i widoczna dla u\u017cytkownika. To tutaj u\u017cytkownik uruchamia i przegl\u0105da aplikacje FIORI.<\/li>\n<\/ul>\n\n\n\n
Ju\u017c na pierwszy rzut oka mo\u017cna si\u0119 domy\u015ble\u0107, \u017ce problemy mog\u0105 pojawi\u0107 si\u0119 na poziomie ka\u017cdej z tych warstw.<\/p>\n\n\n\n
Najcz\u0119\u015bciej wyst\u0119puj\u0105ce problemy<\/strong><\/h3>\n\n\n\nPrzyjrzyjmy si\u0119 wi\u0119c najcz\u0119\u015bciej wyst\u0119puj\u0105cym problemom oraz ich przyczynom.<\/p>\n\n\n\n
Uwaga!<\/strong> Zanim przejdziemy dalej \ud83d\ude0a Artyku\u0142 opisuje sytuacje, w kt\u00f3rych u\u017cytkownik teoretycznie powinien posiada\u0107 ju\u017c dost\u0119p do danych aplikacji SAP FIORI, a mimo to nadal ma pewne problemy z ich widoczno\u015bci\u0105 lub dzia\u0142aniem. Przyjmuj\u0119 r\u00f3wnie\u017c, \u017ce czytelnik pos\u0142uguje si\u0119 transakcjami takimi jak SUIM, SU01 oraz PFCG, by m\u00f3c odnale\u017a\u0107 rol\u0119 z brakuj\u0105cym obiektem autoryzacyjnym (wynikaj\u0105cym np. z log\u00f3w SU53) i przypisa\u0107 j\u0105 u\u017cytkownikowi, zmodyfikowa\u0107 wybran\u0105 istniej\u0105c\u0105 rol\u0119 lub utworzy\u0107 now\u0105 rol\u0119 w systemie SAP. <\/p>\n\n\n\nDla przypomnienia, weryfikacji, czy u\u017cytkownik posiada ju\u017c odpowiedni\u0105 role, kt\u00f3ra teoretycznie powinna mu dawa\u0107 dost\u0119p do danej aplikacji FIORI, mo\u017cemy dokona\u0107 na dwa sposoby:<\/p>\n\n\n\n
\n- W przypadku standardowych aplikacji SAP FIORI otwieramy og\u00f3lnodost\u0119pn\u0105 Bibliotek\u0119 aplikacji SAP FIORI<\/a>, wybieramy kategori\u0119 All apps, nast\u0119pnie odpowiedni\u0105 wersj\u0119 systemu SAP i w zak\u0142adce Configuration w tabeli Business Role(s) mamy list\u0119 r\u00f3l, kt\u00f3re umo\u017cliwiaj\u0105 dost\u0119p do wybranej aplikacji. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n
![\"SAP](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-02-SAP-Fiori-Apps-Reference-Library-lista-rol-z-dostepem-do-aplikacji-FIORI-1024x482.png\")
<\/a>Ryc. 2 SAP Fiori Apps Reference Library \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\n\n- W przypadku standardowych oraz niestandardowych (custom) aplikacji SAP FIORI otwieramy w SAP GUI transakcj\u0119 \/n\/UI2\/FLPCM_CUST,<\/strong> przechodzimy do zak\u0142adki Tiles\/Target Mappings i wpisujemy dok\u0142adn\u0105 nazw\u0119 naszego kafelka FIORI (wielko\u015b\u0107 liter i spacje maj\u0105 znaczenie!), zaznaczamy go i wybieramy opcj\u0119 Show usage in Roles<\/strong>. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n
![\"Launchpad](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-03-Launchpad-Content-Manager-lista-rol-z-dostepem-do-aplikacji-FIORI-1024x523.png\")
<\/a>Ryc. 3 Launchpad Content Manager \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\nWarto r\u00f3wnie\u017c zwr\u00f3ci\u0107 uwag\u0119, czy wyszukana przez nas aplikacja FIORI znajduje si\u0119 w katalogu FIORI w formie (Tile+TM)<\/strong> i czy ten katalog jest przypisany do roli FIORI, kt\u00f3r\u0105 u\u017cytkownik posiada lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\nBy to zweryfikowa\u0107, nale\u017cy dokona\u0107 tych samych krok\u00f3w, co w poprzednich punktach, i na ko\u0144cu wybra\u0107 opcj\u0119 Show usage in Roles<\/strong>, sprawdzi\u0107 kolumn\u0119 Reference Details<\/strong> i w transakcji PFCG upewni\u0107 si\u0119, czy katalog jest przypisany do roli, kt\u00f3r\u0105 u\u017cytkownik ma lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\n![\"Launchpad](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-04-Launchpad-Content-Manager-lista-katalogow-zawierajacych-Tile-TM-1024x523.png\")
<\/a>Ryc. 4 Launchpad Content Manager \u2013 lista katalog\u00f3w zawieraj\u0105cych Tile + TM<\/figcaption><\/figure>\n\n\n\nJe\u017celi dana aplikacja nie jest dost\u0119pna w \u017cadnym katalogu z informacj\u0105, \u017ce sk\u0142ada si\u0119 ona z (Tile + TM), <\/strong>wtedy brakuj\u0105cy element Tile lub TM nale\u017cy doda\u0107 do odpowiedniego katalogu FIORI. Jest to jednak kwestia na zupe\u0142nie osobny artyku\u0142. <\/p>\n\n\n\nNa ten moment pozostawiam link do dokumentacji SAP, kt\u00f3ra opisuje podobne przypadki: SAP Fiori Launchpad Content Manager \u2013 Adding and Removing Catalog Content<\/a>.<\/p>\n\n\n\nB\u0142\u0119dy podczas otwierania kafelka FIORI<\/strong><\/h2>\n\n\n\nScenariusz 1.<\/strong><\/h3>\n\n\n\nW SAP Launchpad znale\u017ali\u015bmy interesuj\u0105c\u0105 nas aplikacj\u0119 FIORI. Chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/404 \u2013 przyk\u0142ad takiego b\u0142\u0119du poni\u017cej:<\/p>\n\n\n\n![\"B\u0142\u0105d](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-05-Blad-403-aplikacja-nie-wczytuje-sie-brak-dostepu-do-zawartosci-1024x477.png\")
<\/a>Ryc. 5 B\u0142\u0105d 403 \u2013 aplikacja nie wczytuje si\u0119 \u2013 brak dost\u0119pu do zawarto\u015bci<\/figcaption><\/figure>\n\n\n\nOznacza to, \u017ce jaki\u015b serwis oData (us\u0142uga, kt\u00f3ra komunikuje si\u0119 pomi\u0119dzy frontendem i backendem) nie dzia\u0142a poprawnie, nie jest aktywny lub w og\u00f3le nie zosta\u0142 zaimplementowany w systemie.<\/p>\n\n\n\n
By to przeanalizowa\u0107 i naprawi\u0107 nale\u017cy:
Krok 1.<\/strong> Uruchomi\u0107 transakcj\u0119 \/n\/UI2\/FLPCM_CUST<\/strong><\/p>\n\n\n\nKrok 2.<\/strong> Wyszuka\u0107 w zak\u0142adce Tiles\/Target Mappings<\/strong> interesuj\u0105c\u0105 nas aplikacj\u0119, zaznaczy\u0107 j\u0105 i wybra\u0107 opcj\u0119 Services -> Check and Show Services.<\/strong> Sprawdzi\u0107 zak\u0142adki oData V2 Services oraz oData V4 Services.<\/strong> Poni\u017cej zrzuty ekran\u00f3w z transakcji:<\/p>\n\n\n\n![\"Launchpad](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-06-Launchpad-Content-Manager-Check-and-Show-Services-1024x522.png\")
<\/a>Ryc. 6 Launchpad Content Manager \u2013 Check and Show Services<\/figcaption><\/figure>\n\n\n\n![\"Launchpad](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-07-Launchpad-Content-Manager-lista-serwisow-aplikacji-1024x522.png\")
<\/a>Ryc. 7 Launchpad Content Manager \u2013 lista serwis\u00f3w aplikacji<\/figcaption><\/figure>\n\n\n\nJe\u017celi w tych zak\u0142adkach kt\u00f3rykolwiek z serwis\u00f3w oData posiada czerwony status (jest nieaktywny) \u2013 nale\u017cy: <\/p>\n\n\n\n
\n- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>. W kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData, zaznaczy\u0107 go i w lewym dolnym rogu w oknie ICF Services<\/strong>, aktywowa\u0107 go za pomoc\u0105 opcji ICF Node -> Activate<\/strong>:<\/li>\n<\/ul>\n\n\n\n
![\"Activate](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-08-Activate-and-Maintain-Services-aktywacja-serwisu-oData-1024x527.png\")
<\/a>Ryc. 8 Activate and Maintain Services \u2013 aktywacja serwisu oData<\/figcaption><\/figure>\n\n\n\nJe\u017celi status serwisu si\u0119 nie zmieni\u0142 i otrzymamy komunikat systemowy z informacj\u0105, \u017ce nie mo\u017cemy aktywowa\u0107 serwisu, nale\u017cy wtedy wybra\u0107 opcj\u0119 ICF Node \u2013> Configure SICF<\/strong>. Zostaniemy przekierowani do transakcji SICF<\/strong> \u2013 bezpo\u015brednio do drzewka obiekt\u00f3w z naszym serwisem. Je\u017celi jest on dezaktywowany (wyszarzony), nale\u017cy klikn\u0105\u0107 na niego prawym przyciskiem myszy i wybra\u0107 opcj\u0119 Activate Service<\/strong> i w nast\u0119pnym oknie zatwierdzi\u0107 to, wybieraj\u0105c drug\u0105 opcj\u0119<\/strong> Yes<\/strong>, jak na poni\u017cszych zrzutach ekranu:<\/p>\n\n\n\n![\"Activate](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-09-Activate-and-Maintain-Services-przejscie-do-konfiguracji-SICF-1024x526.png\")
<\/a>Ryc. 9 Activate and Maintain Services \u2013 przej\u015bcie do konfiguracji SICF<\/figcaption><\/figure>\n\n\n\n![\"Define](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-10-Define-Services-aktywacja-serwisu-ICF-1024x473.png\")
<\/a>Ryc. 10 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\nGdy wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakcji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\n\n- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>, w kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData. Je\u017celi jednak nie mo\u017cemy go wyszuka\u0107, oznacza to, \u017ce nie zosta\u0142 on zaimplementowany w naszym systemie.Jak tego dokona\u0107? Tutaj odsy\u0142am do poni\u017cszych artyku\u0142\u00f3w: \n
\n- dla oData V2: SAP Note 2525224 \u2013 Missing OData Service when Attempting to Add Service in \/IWFND\/MAINT_SERVICES<\/a> i Activate OData Services for Sana SAP Fiori Apps<\/a><\/li>\n\n\n\n
- dla oData V4: Publish\/Activate an oData V4 Service Group in SAP<\/a> i OData V4 Service Catalog<\/a><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n
Gdy serwisy zostan\u0105 zaimplementowane, aktywowane i wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakacji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\nKrok 3.<\/strong> Przetestowanie dzia\u0142ania aplikacji w SAP FIORI Launchpad, najlepiej po od\u015bwie\u017ceniu strony z ewentualnym wyczyszczeniu ciasteczek\/cache przegl\u0105darki lub ponownym zalogowaniu si\u0119 do SAP FIORI.<\/p>\n\n\n\nScenariusz 2.<\/strong><\/h3>\n\n\n\nW SAP Launchpad znale\u017ali\u015bmy interesuj\u0105ca nas aplikacj\u0119 FIORI, chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/500 \u2013 Request Failed, przyk\u0142ad:<\/p>\n\n\n\n![\"B\u0142\u0105d](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-11-Blad-problem-z-zaladowaniem-komponentu-UI5-1024x493.png\")
<\/a>Ryc. 11 B\u0142\u0105d \u2013 problem z za\u0142adowaniem komponentu UI5<\/figcaption><\/figure>\n\n\n\nNale\u017cy post\u0119powa\u0107 analogicznie jak w Scenariuszu 1, z t\u0105 r\u00f3\u017cnic\u0105, \u017ce w Kroku 2, sprawdzamy zak\u0142adk\u0119 ICF Services<\/strong>. Je\u017celi jakikolwiek serwis ICF jest nieaktywny, nale\u017cy go zaznaczy\u0107 i wybra\u0107 opcj\u0119 Define Services<\/strong>, a potem aktywowa\u0107 serwis ICF analogicznie, jak w Scenariuszu 1 \u2013 Krok 2 w momencie, gdy system przekierowa\u0142 nas do transakcji SICF:<\/p>\n\n\n\n![\"Launchpad](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-12-Launchpad-Content-Manager-nieaktywny-serwis-ICF-1024x526.png\")
<\/a>Ryc. 12 Launchpad Content Manager \u2013 nieaktywny serwis ICF<\/figcaption><\/figure>\n\n\n\n![\"Define](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-13-Define-Services-aktywacja-serwisu-ICF-1024x502.png\")
<\/a>Ryc. 13 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\nB\u0142\u0105d 403\/500 \u2013 Request Failed lub Component failed mo\u017ce mie\u0107 r\u00f3wnie\u017c pod\u0142o\u017ce bezpo\u015brednio autoryzacyjne w systemie SAP S\/4 HANA. U\u017cytkownik mo\u017ce nie posiada\u0107 odpowiednich dost\u0119p\u00f3w do obiektu autoryzacyjnego S_RFCACL<\/strong>, co diagnozujemy za pomoc\u0105 transakcji SU53, STAUTHTRACE lub App Support (w FIORI). O tych narz\u0119dziach wspomn\u0119 jeszcze w dalszej cz\u0119\u015bci artyku\u0142u.<\/p>\n\n\n\nScenariusz 3.<\/strong><\/h3>\n\n\n\nKroki wykonane w Scenariuszach 1. oraz 2. nie pomog\u0142y, a dodatkowo otrzymujemy poni\u017cszy komunikat:<\/p>\n\n\n\n![\"B\u0142\u0105d](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-14-Blad-problem-z-zaladowniem-zawartosci-komponentu-UI5.png\")
<\/a>Ryc. 14 B\u0142\u0105d \u2013 problem z za\u0142adowaniem zawarto\u015bci \u2013 komponentu UI5<\/figcaption><\/figure>\n\n\n\nOznacza to, \u017ce aplikacja nadal nie mo\u017ce odnale\u017a\u0107 jakiego\u015b serwisu oData, a co za tym idzie \u2013 r\u00f3wnie\u017c serwisu ICF. By to zweryfikowa\u0107, nale\u017cy wykona\u0107 Krok 1 oraz Krok 2 ze Scenariusza 1 i sprawdzi\u0107, czy ilo\u015b\u0107 serwis\u00f3w oData V2 i V4 zgadza si\u0119 z dokumentacj\u0105 dla tej aplikacji w Bibliotece FIORI<\/a>. Je\u017celi jakiego\u015b serwisu brakuje, nale\u017cy go doda\u0107 analogicznie jak w Scenariuszu 1, Krok 2(b).<\/p>\n\n\n\n![\"SAP](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-15-SAP-Fiori-Apps-Reference-informacje-o-uzywanych-przez-aplikacje-serwisach-ICF-i-oData-1024x486.png\")
<\/a>Ryc. 15 SAP Fiori Apps Reference \u2013 informacje o u\u017cywanych przez aplikacj\u0119 serwisach ICF i oData<\/figcaption><\/figure>\n\n\n\n![\"oferty](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/12\/praca-m-19.jpg\")
<\/a><\/figure>\n\n\n\nB\u0142\u0119dy autoryzacyjne w widokach CDS<\/strong><\/h2>\n\n\n\nWidoki CDS (Core Data Services)<\/strong> w SAP pozwalaj\u0105 na tworzenie zaawansowanych, wydajnych i z\u0142o\u017conych modeli danych oraz logiki aplikacyjnej na poziomie bazy danych. Widoki tego typu mo\u017cemy otwiera\u0107 poprzez SAP FIORI. Jednak dost\u0119p do wspomnianych modeli danych (Virtual Data Model) w widokach CDS jest zawsze kontrolowany poprzez kombinacj\u0119 poni\u017cszych autoryzacji:<\/p>\n\n\n\n\n- klasycznego sprawdzania obiekt\u00f3w autoryzacyjnych \u2013 przez authorization check w kodzie ABAP. W tym przypadku s\u0105 to obiekty (S_TCODE, S_START, S_SERVICE, SDDLVIEW itp.), kt\u00f3re dziej\u0105 si\u0119 podczas uruchamiania aplikacji;<\/li>\n\n\n\n
- weryfikacji autoryzacji u\u017cytkownika na poziomie \u017ar\u00f3d\u0142a danych widoku CDS, odbywaj\u0105cej si\u0119 dynamicznie w czasie korzystania z widoku, gdy pobiera on kolejne dane. Uprawnienia w kodzie widoku CDS s\u0105 na bie\u017c\u0105co por\u00f3wnywane z autoryzacjami u\u017cytkownika, kt\u00f3re posiada w PFCG.<\/li>\n<\/ul>\n\n\n\n
Poni\u017cej schemat z por\u00f3wnuj\u0105cy standardowe podej\u015bcie do weryfikowania autoryzacji dla aplikacji opartych na ABAP<\/strong>, oraz podej\u015bcie DCL<\/strong> dla widok\u00f3w CDS:<\/p>\n\n\n\n![\"Por\u00f3wnanie](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-16-EN-Porownanie-standardowego-podejscia-ABAP-z-podejsciem-DCL-dla-widokow-CDS-1024x724.jpg\")
<\/a>Ryc. 16 Por\u00f3wnanie standardowego podej\u015bcia ABAP z podej\u015bciem DCL dla widok\u00f3w CDS (schemat zainspirowany z webinaru SAP Fiori Security \u2013 Authorization Debugging<\/a>)<\/figcaption><\/figure>\n\n\n\nPodej\u015bcie DCL (Data Control Language)<\/strong> definiuje, jakie dane u\u017cytkownik mo\u017ce zobaczy\u0107, zale\u017cnie od jego uprawnie\u0144. Stosuje si\u0119 g\u0142\u00f3wnie do ograniczania dost\u0119pu do danych na poziomie rekord\u00f3w (row-level security), a tak\u017ce do kolumn (column-level security) w modelach danych CDS.<\/p>\n\n\n\nRaz zdefiniowane regu\u0142y autoryzacji s\u0105 automatycznie stosowane do wszystkich zapyta\u0144, kt\u00f3re korzystaj\u0105 z danego widoku CDS, zapewniaj\u0105c sp\u00f3jno\u015b\u0107 i redukuj\u0105c ryzyko b\u0142\u0119d\u00f3w. Umo\u017cliwia to dynamiczne i kontekstowe dostosowanie dost\u0119pu do danych na podstawie atrybut\u00f3w u\u017cytkownika, co jest trudniejsze do osi\u0105gni\u0119cia w klasycznym podej\u015bciu.<\/p>\n\n\n\n
Z racji na bardziej elastyczne oraz bardziej wydajne dzia\u0142anie, widoki CDS oraz podej\u015bcie DCL jest stosowane coraz cz\u0119\u015bciej r\u00f3wnie\u017c w standardowych transakcjach SAP. Jako przyk\u0142adem pos\u0142u\u017c\u0119 si\u0119 tutaj aplikacj\u0105 Display Material (MM03).<\/p>\n\n\n\n
\u015aledzenie u\u017cytkownika i symulacja dost\u0119p\u00f3w do danych w CDS<\/strong><\/h3>\n\n\n\nW transakcji STAUTHTRACE<\/strong> uruchomi\u0142em \u015bledzenie swojego u\u017cytkownika w celu weryfikacji, z jakich autoryzacji pr\u00f3buje skorzysta\u0107. Po uruchomieniu aplikacji Display Material (MM03) otrzyma\u0142em nast\u0119puj\u0105ce logi:<\/p>\n\n\n\n![\"System](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-17-System-Trace-for-Authorization-Checks-logi-z-rezultatami-poszczegolnych-autoryzacji-rowniez-do-widokow-CDS-1024x522.png\")
<\/a>Ryc. 17 System Trace for Authorization Checks \u2013 logi z rezultatami poszczeg\u00f3lnych autoryzacji \u2013 r\u00f3wnie\u017c do widok\u00f3w CDS<\/figcaption><\/figure>\n\n\n\nJak wida\u0107 w kolumnie CDS Entity pojawi\u0142a si\u0119 informacja o tym, \u017ce cz\u0119\u015b\u0107 danych, kt\u00f3re zosta\u0142y mi wy\u015bwietlone w aplikacji Display Material (MM03) pochodzi z widoku CDS i dost\u0119p do nich jest autoryzowany w\u0142a\u015bnie na poziomie widoku CDS.<\/p>\n\n\n\n
I tutaj istotna uwaga \u2013 tego typu informacji nie otrzymamy w SU53! Dlatego w celu dok\u0142adniejszej weryfikacji log\u00f3w\/b\u0142\u0119d\u00f3w autoryzacyjnych, warto korzysta\u0107 r\u00f3wnie\u017c z transakcji STAUTHTRACE. Ponadto, z poziomu log\u00f3w jestem w stanie bezpo\u015brednio przej\u015b\u0107 do aplikacji CDS Access Control,<\/strong> kt\u00f3ra umo\u017cliwi mi sprawdzenie, co dok\u0142adnie jest weryfikowane w tym widoku CDS w celu wy\u015bwietlania mi odpowiednich danych. Poni\u017cej przyk\u0142ad dla wcze\u015bniej wywo\u0142anego widoku:<\/p>\n\n\n\n![\"CDS](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-18-CDS-Access-Control-skrypt-bazodanowy-dla-widoku-CDS-z-zapytaniem-o-autoryzacje-1024x666.png\")
<\/a>Ryc. 18 CDS Access Control \u2013 skrypt bazodanowy dla widoku CDS z zapytaniem o autoryzacje<\/figcaption><\/figure>\n\n\n\nJak wida\u0107, mamy fragment kodu, kt\u00f3ry na poziomie widoku CDS por\u00f3wnuje wprowadzone tutaj warto\u015bci obiekt\u00f3w autoryzacyjnych z obiektami autoryzacyjnymi posiadanymi przez u\u017cytkownika aktualnie przegl\u0105daj\u0105cego ten widok CDS i na tej podstawie decyduje, czy ten konkretny zestaw danych mo\u017ce zosta\u0107 wy\u015bwietlony b\u0105d\u017a nie.
W powy\u017cszym przyk\u0142adzie zestaw danych dotyczy dost\u0119pu do grup produktowych (obiekt M_MATE_MAT, pole: BEGRU) i widok CDS sprawdza, jakie dost\u0119py do obiektu posiada u\u017cytkownik i wy\u015bwietli dane tylko dla tych grup produktowych (BEGRU), w kt\u00f3rych u\u017cytkownik posiada w polu aktywno\u015bci warto\u015bci 03 (Display) i F4 (Display in Value Help).<\/p>\n\n\n\n
W przeciwie\u0144stwie do klasycznego podej\u015bcia system nie sprawdza w skrypcie ABAP ka\u017cdej warto\u015bci pola aktywno\u015bci (ACTVT) u\u017cytkownika dla danych grup produktowych z pola BEGRU, tylko \u201epobiera\u201d jego dost\u0119py (aktywno\u015bci) do warto\u015bci z pola BEGRU i na poziome skryptu bazy danych sprawdza, czy w\u015br\u00f3d tych warto\u015bci s\u0105 te wskazane w zapytaniu widoku CDS. Je\u017celi s\u0105 \u2013 wy\u015bwietla te dane. Bardzo pomocnym narz\u0119dziem umo\u017cliwiaj\u0105cych weryfikacj\u0119 do jakich danych w widoku ma dost\u0119p konkretny u\u017cytkownik, jest CDS Access Control Runtime Simulator (SACM<\/strong>):<\/p>\n\n\n\n![\"Access](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-19-Access-Control-Management-ekran-wyboru-narzedzia-1024x290.png\")
<\/a>Ryc. 19 Access Control Management \u2013 ekran wyboru narz\u0119dzia<\/figcaption><\/figure>\n\n\n\n![\"CDS](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-20-CDS-Access-Control-Runtime-Simulator-ekran-wyboru-symulacji-dostepow-CDS-dla-wybranego-uzytkownika.png\")
<\/a>Ryc. 20 CDS Access Control Runtime Simulator \u2013 ekran wyboru symulacji dost\u0119p\u00f3w CDS dla wybranego u\u017cytkownika<\/figcaption><\/figure>\n\n\n\n![\"ACM](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-21-ACM-Runtime-Simulator-rezultaty-symulacji-dostepow-do-widoku-CDS-uzytkownika-z-pelnym-dostepem-1024x398.png\")
<\/a>Ryc. 21 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z pe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\n![\"ACM](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-22-ACM-Runtime-Simulator-rezultaty-symulacji-dostepow-do-widoku-CDS-uzytkownika-z-ograniczonym-dostepem-1024x398.png\")
<\/a>Ryc. 22 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z niepe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\nNa Ryc. 20 wida\u0107, \u017ce m\u00f3j u\u017cytkownik ma w tym widoku dost\u0119p do wszystkich danych. Jednak na Ryc. 21 u\u017cytkownik z innymi rolami posiada ju\u017c tylko dost\u0119p do jednej grupy produktowej oznaczonej jako XYZ. I tylko dane dla tej grupy produktowej zostan\u0105 mu wy\u015bwietlone w aplikacji korzystaj\u0105cej z tego widoku CDS. <\/p>\n\n\n\n
Jest to bardzo przydatne w przypadku, gdy u\u017cytkownik nie widzi cz\u0119\u015bci danych, a nie otrzymuje \u017cadnego b\u0142\u0119du autoryzacyjnego, nie widzi go r\u00f3wnie\u017c w SU53 \u2013 wtedy kombinacja narz\u0119dzi STAUTHTRACE + SACM znacznie u\u0142atwia nam analiz\u0119 problemu.<\/p>\n\n\n\n
Narz\u0119dzia do analizy b\u0142\u0119d\u00f3w + najcz\u0119\u015bciej wykrywane b\u0142\u0119dy<\/strong><\/h2>\n\n\n\nSU53<\/strong><\/h3>\n\n\n\nSU53 to narz\u0119dzie, kt\u00f3rego chyba nikomu nie trzeba przedstawia\u0107. Jest to absolutna klasyka analizy problem\u00f3w z autoryzacjami zar\u00f3wno dla system\u00f3w ABAP jak i FIORI \ud83d\ude0a<\/p>\n\n\n\n
W kontek\u015bcie dzia\u0142ania aplikacji FIORI najcz\u0119\u015bciej spotykanym problemem jest brak uprawnie\u0144 u\u017cytkownika do odpowiednich serwis\u00f3w (np. ODATA) zdefiniowanych w obiekcie autoryzacyjnym S_SERVICE. B\u0119dzie to powodowa\u0142o problemy z otwieraniem si\u0119 aplikacji lub nawet brak dost\u0119pu do cz\u0119\u015bci danych czy dost\u0119pnych opcji.<\/p>\n\n\n\n
Poni\u017cej przyk\u0142ad takich log\u00f3w w transakcji SU53:<\/p>\n\n\n\n![\"Przyk\u0142adowe](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-23-Przykladowe-bledy-zwiazane-z-brakiem-dostepu-do-serwisow-oData-w-obiekcie-autoryzacyjnym-S_SERVICE-1024x371.png\")
<\/a>Ryc. 23 Przyk\u0142adowe b\u0142\u0119dy zwi\u0105zane z brakiem dost\u0119pu do serwis\u00f3w oData w obiekcie autoryzacyjnym S_SERVICE<\/figcaption><\/figure>\n\n\n\nBy go naprawi\u0107, nale\u017cy poszuka\u0107 roli zawieraj\u0105cej ju\u017c obiekt z t\u0105 warto\u015bci\u0105 np. poprzez transakcj\u0119 SUIM lub doda\u0107 t\u0119 warto\u015b\u0107 do obiektu S_SERVICE w istniej\u0105cej ju\u017c roli, korzystaj\u0105c z transakcji PFCG:<\/p>\n\n\n\n![\"Ryc.](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-24-Transakcja-PFCG-dodawnie-serwisow-oData-jako-wartosci-do-obiektu-autoryzacyjnego-S_SERVICE-w-roli-1024x690.png\")
<\/a>Ryc. 24 Transakcja PFCG \u2013 dodawanie serwis\u00f3w oData jako warto\u015bci do obiektu autoryzacyjnego S_SERVICE w roli<\/figcaption><\/figure>\n\n\n\nWad\u0105 SU53 jest brak log\u00f3w do wszystkich rodzaj\u00f3w b\u0142\u0119d\u00f3w autoryzacyjnych, np. nie otrzymamy w niej log\u00f3w do b\u0142\u0119d\u00f3w zwi\u0105zanych z autoryzacjami widok\u00f3w CDS, kt\u00f3re zosta\u0142y zdefiniowane na poziomie kodu widoku CDS.
Tip<\/strong>! Gdy tylko dowiemy si\u0119, \u017ce wyst\u0105pi\u0142 jaki\u015b problem z aplikacj\u0105 FIORI i sprawdzimy logi w SU53, warto jest od razu je zapisa\u0107, poniewa\u017c s\u0105 one widoczne tylko przez jaki\u015b czas. Unikniemy w ten spos\u00f3b sytuacji, w kt\u00f3rej b\u0119dziemy musieli prosi\u0107 u\u017cytkownika o ponowne \u201ewygenerowanie\u201d b\u0142\u0119du \ud83d\ude0a Ewentualnie mo\u017cemy poprosi\u0107 u\u017cytkownika o pobranie i przes\u0142anie nam log\u00f3w.<\/p>\n\n\n\nApp Support<\/strong><\/h3>\n\n\n\nW uproszczeniu odpowiednik SU53 lecz dost\u0119pny bezpo\u015brednio z poziomu SAP FIORI Launchpad. Aplikacja ta nie jest jednak domy\u015blnie dost\u0119pna \u2013 trzeba j\u0105 aktywowa\u0107 oraz katalog FIORI doda\u0107 do wybranych przez nas r\u00f3l w SAP. Aplikacja prezentuje si\u0119 jak poni\u017cej:<\/p>\n\n\n\n![\"Ekran](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-25-Ekran-glowny-aplikacji-App-Support-1024x518.png\")
<\/a>Ryc. 25 Ekran g\u0142\u00f3wny aplikacji App Support [\u0179r\u00f3d\u0142o: SAP Fiori for SAP S\/4HANA \u2013 10 health checks for the SAP Fiori launchpad<\/strong><\/a>]<\/figcaption><\/figure>\n\n\n\nDokumentacja SAP w jaki spos\u00f3b aktywowa\u0107 aplikacj\u0119 dla u\u017cytkownik\u00f3w: Setting Up App Support<\/a>.<\/p>\n\n\n\nSTAUTHTRACE<\/strong><\/h3>\n\n\n\nStauthtrace umo\u017cliwia \u015bledzenie, kt\u00f3re obiekty autoryzacyjne s\u0105 sprawdzane podczas wykonywania okre\u015blonych operacji przez u\u017cytkownika. Dzi\u0119ki temu mo\u017cna zidentyfikowa\u0107, jakie autoryzacje s\u0105 wymagane, a kt\u00f3re s\u0105 przyczyn\u0105 problem\u00f3w. Mo\u017cemy wybra\u0107 zakres u\u017cytkownik\u00f3w, dla kt\u00f3rych chcemy w\u0142\u0105czy\u0107 trace oraz specyficzne operacje, jakie chcemy \u015bledzi\u0107:<\/p>\n\n\n\n![\"System](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-26-System-Trace-for-Authorization-Checks-STAUTHTRACE.png\")
<\/a>Ryc. 26 System Trace for Authorization Checks \u2013 STAUTHTRACE<\/figcaption><\/figure>\n\n\n\nNarz\u0119dzie wska\u017ce nam r\u00f3wnie\u017c b\u0142\u0119dy zwi\u0105zane z uprawnieniami do widok\u00f3w CDS.<\/p>\n\n\n\n
\/n\/IWFND\/ERROR_LOG<\/strong><\/h3>\n\n\n\nNarz\u0119dzie diagnostyczne, kt\u00f3re pozwala weryfikowa\u0107 logi b\u0142\u0119d\u00f3w podczas przetwarzania request\u00f3w serwis\u00f3w oData \u2013 b\u0142\u0119dy na poziomie komunikacji mi\u0119dzy SAP Gateway a systemem backendowym, r\u00f3wnie\u017c zwi\u0105zane z przetwarzaniem danych:<\/p>\n\n\n\n![\"SAP](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-27-SAP-Gateway-Error-Log-Frontend-1024x497.png\")
<\/a>Ryc. 27 SAP Gateway Error Log \u2013 Frontend<\/figcaption><\/figure>\n\n\n\n\/n\/IWBEP\/ERROR_LOG<\/strong><\/h3>\n\n\n\nPodobnie, jak poprzednia aplikacja, \/n\/IWBEP\/ERROR_LOG umo\u017cliwia weryfikacj\u0119 log\u00f3w b\u0142\u0119d\u00f3w podczas przetwarzania \u017c\u0105da\u0144 oData. Jednak w tym przypadku ju\u017c po stronie Backendu. Pozwala r\u00f3wnie\u017c na analiz\u0119 b\u0142\u0119d\u00f3w zwi\u0105zanych z obiektem autoryzacyjnym RFC \u2013 S_RFCACL, o kt\u00f3rym wspomina\u0142em wcze\u015bniej:<\/p>\n\n\n\n![\"SAP](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-28-SAP-Backend-Error-Log-1024x516.png\")
<\/a>Ryc. 28 SAP Backend Error Log<\/figcaption><\/figure>\n\n\n\nST22<\/strong><\/h3>\n\n\n\nTransakcja s\u0142u\u017c\u0105c\u0105 do analizy b\u0142\u0119d\u00f3w ABAP. Umieszczam j\u0105 tutaj, poniewa\u017c cz\u0119sto co\u015b, co na pierwszy rzut oka wygl\u0105da na b\u0142\u0105d autoryzacyjny, wcale nie musi nim by\u0107 \ud83d\ude0a Przyk\u0142adowo \u2013 u\u017cytkownik otrzymuje komunikat o jakim\u015b b\u0142\u0119dzie, jednak jego tre\u015b\u0107 nie jest jednoznaczna, ale sugeruje brak jakiego\u015b dost\u0119pu. Okazuje si\u0119 jednak, \u017ce nie mamy \u017cadnych log\u00f3w b\u0142\u0119d\u00f3w, np. w transakcji SU53, wtedy warto zweryfikowa\u0107 logi w transakcji ST22, by upewni\u0107 si\u0119, czy nie jest to b\u0142\u0105d ABAB\/Developerski:<\/p>\n\n\n\n![\"ABAP](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-29-ABAP-Runtime-Errors-ST22.png\")
<\/a>Ryc. 29 ABAP Runtime Errors \u2013 ST22<\/figcaption><\/figure>\n\n\n\nNarz\u0119dzia\/Tryb Developera w przegl\u0105darce internetowej (Chrome, Firefox, Edge, Opera itp.)<\/strong><\/h3>\n\n\n\nWiele rzeczy w SAP FIORI dzieje si\u0119 na poziomie przegl\u0105darki, wi\u0119c za pomoc\u0105 wbudowanych narz\u0119dzi developerskich i ich konsol jeste\u015bmy w stanie namierzy\u0107 miejsce potencjalnego problemu \u2013 zweryfikowa\u0107, jakie \u017c\u0105danie by\u0142o wywo\u0142ywane, przez jaki serwis\/us\u0142ug\u0119, jaki b\u0142\u0105d to powoduje. Poni\u017cej zrzut ekranu z przyk\u0142adowego b\u0142\u0119du oraz informacje, jakie jeste\u015bmy w stanie odczyta\u0107 z narz\u0119dzia developerskiego:<\/p>\n\n\n\n![\"DevTools](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-30-DevTools-w-przegladarce-Google-Chrome-zaznaczony-fragment-wskazuje-na-problem-z-konkretnym-serwisem-oData-1024x400.png\")
<\/a>Ryc. 30 DevTools w przegl\u0105darce Google Chrome \u2013 zaznaczony fragment wskazuje na problem z konkretnym serwisem oData<\/figcaption><\/figure>\n\n\n\nDodatkowe przydatne narz\u0119dzia<\/strong><\/h3>\n\n\n\n\n- \/UI5\/APP_INDEX_CALCULATE<\/strong> \u2013 transakcja s\u0142u\u017cy do generowania lub odtwarzania indeksu aplikacji SAPUI5, co jest kluczowe po wdro\u017ceniu nowych aplikacji Fiori, aktualizacjach systemu, czy zmianach w konfiguracji aplikacji. U\u017cycie tej transakcji jest cz\u0119sto zalecane w przypadku problem\u00f3w z wy\u015bwietlaniem aplikacji Fiori, takich jak brakuj\u0105ce aplikacje lub problemy z dost\u0119pno\u015bci\u0105 \u2013 szczeg\u00f3lnie, gdy dokonali\u015bmy w nich jakich\u015b zmian.<\/li>\n\n\n\n
- \/n\/IWFND\/CACHE_CLEANUP<\/strong> \u2013 w przypadku problem\u00f3w z us\u0142ugami oData lub aplikacjami Fiori, takich jak nieprawid\u0142owe dzia\u0142anie aplikacji, brakuj\u0105ce lub nieaktualne dane, u\u017cycie tej transakcji mo\u017ce pom\u00f3c w przywr\u00f3ceniu poprawnego dzia\u0142ania przez wyczyszczenie cache, co zmusi system do ponownego za\u0142adowania aktualnych danych z backendu.<\/li>\n\n\n\n
- SM20 (Security Audit Log)<\/strong> \u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w u\u017cytkownika np. u\u017cytych przez niego transakcji.<\/li>\n\n\n\n
- SLG1 <\/strong>\u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w systemowych wywo\u0142anych przez u\u017cytkownika np. w konkretnej transakcji lub programie.<\/li>\n\n\n\n
- Http Trace tools<\/strong> \u2013 r\u00f3\u017cne narz\u0119dzia s\u0142u\u017c\u0105ce do monitorowania \u017c\u0105da\u0144 Http czy oData w kontek\u015bcie aplikacji SAP FIORI \u2013 mo\u017cna przejrze\u0107 szczeg\u00f3\u0142owe informacje o ka\u017cdym \u017c\u0105daniu, takie jak metoda (GET, POST, PUT, DELETE), nag\u0142\u00f3wki, body, status odpowiedzi, czas odpowiedzi i inne.<\/li>\n<\/ul>\n\n\n\n
Inne b\u0142\u0119dy<\/strong><\/h2>\n\n\n\n\n- Niepoprawnie nadany alias systemu lub jego brak na poziomie tworzenia\/konfiguracji nowej aplikacji FIORI, a dok\u0142adniej serwis\u00f3w, kt\u00f3re j\u0105 obs\u0142uguj\u0105. Skutkuje to brakiem widoczno\u015bci aplikacji w \u015brodowisku FIORI, po wi\u0119cej informacji i przyk\u0142ad\u00f3w odsy\u0142am tutaj: SAP Community – No System Alias found for Service ” and user ”<\/strong><\/a> oraz
![\"Architektura](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2024\/09\/Ryc.-01-PL-Architektura-dostepu-do-aplikacji-SAP-FIORI.jpg\")
<\/a>Warstwy integracji<\/strong><\/h3>\n\n\n\nJak wida\u0107 na powy\u017cszej grafice, s\u0105 tutaj trzy g\u0142\u00f3wne warstwy takiej integracji, a wi\u0119c:<\/p>\n\n\n\n
\n- Backend Server (BES)<\/strong> \u2013 warstwa logiki biznesowej. W uproszczeniu mo\u017cemy przyj\u0105\u0107, \u017ce jest to nasz system S\/4 HANA. W tej warstwie znajduj\u0105 si\u0119 role biznesowe przypisane do u\u017cytkownik\u00f3w. Zawieraj\u0105 one takie informacje o aplikacjach FIORI jak: katalogi, w kt\u00f3rych si\u0119 znajduj\u0105, serwisy oData (IWSV), transakcje ABAP, z kt\u00f3rych korzystaj\u0105, aplikacje Web Dynpro itp.<\/li>\n\n\n\n
- SAP Frontend Server (FES)<\/strong> \u2013 w du\u017cym uproszczeniu to, co si\u0119 dzieje w tle samego \u015brodowiska FIORI. To w tej warstwie jest wysy\u0142ane \u017c\u0105danie o dany dost\u0119p do systemu Backend poprzez SAP Gateway. Warstwa ta r\u00f3wnie\u017c zawiera role dost\u0119powe z informacjami takimi jak: katalogi, grupy, serwisy oData (IWSG).<\/li>\n\n\n\n
- SAP FIORI Launchpad (FLP)<\/strong> \u2013 ko\u0144cowa warstwa \u2013 wizualna, ju\u017c bezpo\u015brednio dost\u0119pna i widoczna dla u\u017cytkownika. To tutaj u\u017cytkownik uruchamia i przegl\u0105da aplikacje FIORI.<\/li>\n<\/ul>\n\n\n\n
Ju\u017c na pierwszy rzut oka mo\u017cna si\u0119 domy\u015ble\u0107, \u017ce problemy mog\u0105 pojawi\u0107 si\u0119 na poziomie ka\u017cdej z tych warstw.<\/p>\n\n\n\n
Najcz\u0119\u015bciej wyst\u0119puj\u0105ce problemy<\/strong><\/h3>\n\n\n\nPrzyjrzyjmy si\u0119 wi\u0119c najcz\u0119\u015bciej wyst\u0119puj\u0105cym problemom oraz ich przyczynom.<\/p>\n\n\n\n
Uwaga!<\/strong> Zanim przejdziemy dalej \ud83d\ude0a Artyku\u0142 opisuje sytuacje, w kt\u00f3rych u\u017cytkownik teoretycznie powinien posiada\u0107 ju\u017c dost\u0119p do danych aplikacji SAP FIORI, a mimo to nadal ma pewne problemy z ich widoczno\u015bci\u0105 lub dzia\u0142aniem. Przyjmuj\u0119 r\u00f3wnie\u017c, \u017ce czytelnik pos\u0142uguje si\u0119 transakcjami takimi jak SUIM, SU01 oraz PFCG, by m\u00f3c odnale\u017a\u0107 rol\u0119 z brakuj\u0105cym obiektem autoryzacyjnym (wynikaj\u0105cym np. z log\u00f3w SU53) i przypisa\u0107 j\u0105 u\u017cytkownikowi, zmodyfikowa\u0107 wybran\u0105 istniej\u0105c\u0105 rol\u0119 lub utworzy\u0107 now\u0105 rol\u0119 w systemie SAP. <\/p>\n\n\n\nDla przypomnienia, weryfikacji, czy u\u017cytkownik posiada ju\u017c odpowiedni\u0105 role, kt\u00f3ra teoretycznie powinna mu dawa\u0107 dost\u0119p do danej aplikacji FIORI, mo\u017cemy dokona\u0107 na dwa sposoby:<\/p>\n\n\n\n
\n- W przypadku standardowych aplikacji SAP FIORI otwieramy og\u00f3lnodost\u0119pn\u0105 Bibliotek\u0119 aplikacji SAP FIORI<\/a>, wybieramy kategori\u0119 All apps, nast\u0119pnie odpowiedni\u0105 wersj\u0119 systemu SAP i w zak\u0142adce Configuration w tabeli Business Role(s) mamy list\u0119 r\u00f3l, kt\u00f3re umo\u017cliwiaj\u0105 dost\u0119p do wybranej aplikacji. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n
<\/a>Ryc. 2 SAP Fiori Apps Reference Library \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\n\n- W przypadku standardowych oraz niestandardowych (custom) aplikacji SAP FIORI otwieramy w SAP GUI transakcj\u0119 \/n\/UI2\/FLPCM_CUST,<\/strong> przechodzimy do zak\u0142adki Tiles\/Target Mappings i wpisujemy dok\u0142adn\u0105 nazw\u0119 naszego kafelka FIORI (wielko\u015b\u0107 liter i spacje maj\u0105 znaczenie!), zaznaczamy go i wybieramy opcj\u0119 Show usage in Roles<\/strong>. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n
<\/a>Ryc. 3 Launchpad Content Manager \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\nWarto r\u00f3wnie\u017c zwr\u00f3ci\u0107 uwag\u0119, czy wyszukana przez nas aplikacja FIORI znajduje si\u0119 w katalogu FIORI w formie (Tile+TM)<\/strong> i czy ten katalog jest przypisany do roli FIORI, kt\u00f3r\u0105 u\u017cytkownik posiada lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\nBy to zweryfikowa\u0107, nale\u017cy dokona\u0107 tych samych krok\u00f3w, co w poprzednich punktach, i na ko\u0144cu wybra\u0107 opcj\u0119 Show usage in Roles<\/strong>, sprawdzi\u0107 kolumn\u0119 Reference Details<\/strong> i w transakcji PFCG upewni\u0107 si\u0119, czy katalog jest przypisany do roli, kt\u00f3r\u0105 u\u017cytkownik ma lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\n<\/a>Ryc. 4 Launchpad Content Manager \u2013 lista katalog\u00f3w zawieraj\u0105cych Tile + TM<\/figcaption><\/figure>\n\n\n\nJe\u017celi dana aplikacja nie jest dost\u0119pna w \u017cadnym katalogu z informacj\u0105, \u017ce sk\u0142ada si\u0119 ona z (Tile + TM), <\/strong>wtedy brakuj\u0105cy element Tile lub TM nale\u017cy doda\u0107 do odpowiedniego katalogu FIORI. Jest to jednak kwestia na zupe\u0142nie osobny artyku\u0142. <\/p>\n\n\n\nNa ten moment pozostawiam link do dokumentacji SAP, kt\u00f3ra opisuje podobne przypadki: SAP Fiori Launchpad Content Manager \u2013 Adding and Removing Catalog Content<\/a>.<\/p>\n\n\n\nB\u0142\u0119dy podczas otwierania kafelka FIORI<\/strong><\/h2>\n\n\n\nScenariusz 1.<\/strong><\/h3>\n\n\n\nW SAP Launchpad znale\u017ali\u015bmy interesuj\u0105c\u0105 nas aplikacj\u0119 FIORI. Chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/404 \u2013 przyk\u0142ad takiego b\u0142\u0119du poni\u017cej:<\/p>\n\n\n\n<\/a>Ryc. 5 B\u0142\u0105d 403 \u2013 aplikacja nie wczytuje si\u0119 \u2013 brak dost\u0119pu do zawarto\u015bci<\/figcaption><\/figure>\n\n\n\nOznacza to, \u017ce jaki\u015b serwis oData (us\u0142uga, kt\u00f3ra komunikuje si\u0119 pomi\u0119dzy frontendem i backendem) nie dzia\u0142a poprawnie, nie jest aktywny lub w og\u00f3le nie zosta\u0142 zaimplementowany w systemie.<\/p>\n\n\n\n
By to przeanalizowa\u0107 i naprawi\u0107 nale\u017cy:
Krok 1.<\/strong> Uruchomi\u0107 transakcj\u0119 \/n\/UI2\/FLPCM_CUST<\/strong><\/p>\n\n\n\nKrok 2.<\/strong> Wyszuka\u0107 w zak\u0142adce Tiles\/Target Mappings<\/strong> interesuj\u0105c\u0105 nas aplikacj\u0119, zaznaczy\u0107 j\u0105 i wybra\u0107 opcj\u0119 Services -> Check and Show Services.<\/strong> Sprawdzi\u0107 zak\u0142adki oData V2 Services oraz oData V4 Services.<\/strong> Poni\u017cej zrzuty ekran\u00f3w z transakcji:<\/p>\n\n\n\n<\/a>Ryc. 6 Launchpad Content Manager \u2013 Check and Show Services<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 7 Launchpad Content Manager \u2013 lista serwis\u00f3w aplikacji<\/figcaption><\/figure>\n\n\n\nJe\u017celi w tych zak\u0142adkach kt\u00f3rykolwiek z serwis\u00f3w oData posiada czerwony status (jest nieaktywny) \u2013 nale\u017cy: <\/p>\n\n\n\n
\n- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>. W kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData, zaznaczy\u0107 go i w lewym dolnym rogu w oknie ICF Services<\/strong>, aktywowa\u0107 go za pomoc\u0105 opcji ICF Node -> Activate<\/strong>:<\/li>\n<\/ul>\n\n\n\n
<\/a>Ryc. 8 Activate and Maintain Services \u2013 aktywacja serwisu oData<\/figcaption><\/figure>\n\n\n\nJe\u017celi status serwisu si\u0119 nie zmieni\u0142 i otrzymamy komunikat systemowy z informacj\u0105, \u017ce nie mo\u017cemy aktywowa\u0107 serwisu, nale\u017cy wtedy wybra\u0107 opcj\u0119 ICF Node \u2013> Configure SICF<\/strong>. Zostaniemy przekierowani do transakcji SICF<\/strong> \u2013 bezpo\u015brednio do drzewka obiekt\u00f3w z naszym serwisem. Je\u017celi jest on dezaktywowany (wyszarzony), nale\u017cy klikn\u0105\u0107 na niego prawym przyciskiem myszy i wybra\u0107 opcj\u0119 Activate Service<\/strong> i w nast\u0119pnym oknie zatwierdzi\u0107 to, wybieraj\u0105c drug\u0105 opcj\u0119<\/strong> Yes<\/strong>, jak na poni\u017cszych zrzutach ekranu:<\/p>\n\n\n\n<\/a>Ryc. 9 Activate and Maintain Services \u2013 przej\u015bcie do konfiguracji SICF<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 10 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\nGdy wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakcji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\n\n- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>, w kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData. Je\u017celi jednak nie mo\u017cemy go wyszuka\u0107, oznacza to, \u017ce nie zosta\u0142 on zaimplementowany w naszym systemie.Jak tego dokona\u0107? Tutaj odsy\u0142am do poni\u017cszych artyku\u0142\u00f3w: \n
\n- dla oData V2: SAP Note 2525224 \u2013 Missing OData Service when Attempting to Add Service in \/IWFND\/MAINT_SERVICES<\/a> i Activate OData Services for Sana SAP Fiori Apps<\/a><\/li>\n\n\n\n
- dla oData V4: Publish\/Activate an oData V4 Service Group in SAP<\/a> i OData V4 Service Catalog<\/a><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n
Gdy serwisy zostan\u0105 zaimplementowane, aktywowane i wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakacji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\nKrok 3.<\/strong> Przetestowanie dzia\u0142ania aplikacji w SAP FIORI Launchpad, najlepiej po od\u015bwie\u017ceniu strony z ewentualnym wyczyszczeniu ciasteczek\/cache przegl\u0105darki lub ponownym zalogowaniu si\u0119 do SAP FIORI.<\/p>\n\n\n\nScenariusz 2.<\/strong><\/h3>\n\n\n\nW SAP Launchpad znale\u017ali\u015bmy interesuj\u0105ca nas aplikacj\u0119 FIORI, chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/500 \u2013 Request Failed, przyk\u0142ad:<\/p>\n\n\n\n<\/a>Ryc. 11 B\u0142\u0105d \u2013 problem z za\u0142adowaniem komponentu UI5<\/figcaption><\/figure>\n\n\n\nNale\u017cy post\u0119powa\u0107 analogicznie jak w Scenariuszu 1, z t\u0105 r\u00f3\u017cnic\u0105, \u017ce w Kroku 2, sprawdzamy zak\u0142adk\u0119 ICF Services<\/strong>. Je\u017celi jakikolwiek serwis ICF jest nieaktywny, nale\u017cy go zaznaczy\u0107 i wybra\u0107 opcj\u0119 Define Services<\/strong>, a potem aktywowa\u0107 serwis ICF analogicznie, jak w Scenariuszu 1 \u2013 Krok 2 w momencie, gdy system przekierowa\u0142 nas do transakcji SICF:<\/p>\n\n\n\n<\/a>Ryc. 12 Launchpad Content Manager \u2013 nieaktywny serwis ICF<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 13 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\nB\u0142\u0105d 403\/500 \u2013 Request Failed lub Component failed mo\u017ce mie\u0107 r\u00f3wnie\u017c pod\u0142o\u017ce bezpo\u015brednio autoryzacyjne w systemie SAP S\/4 HANA. U\u017cytkownik mo\u017ce nie posiada\u0107 odpowiednich dost\u0119p\u00f3w do obiektu autoryzacyjnego S_RFCACL<\/strong>, co diagnozujemy za pomoc\u0105 transakcji SU53, STAUTHTRACE lub App Support (w FIORI). O tych narz\u0119dziach wspomn\u0119 jeszcze w dalszej cz\u0119\u015bci artyku\u0142u.<\/p>\n\n\n\nScenariusz 3.<\/strong><\/h3>\n\n\n\nKroki wykonane w Scenariuszach 1. oraz 2. nie pomog\u0142y, a dodatkowo otrzymujemy poni\u017cszy komunikat:<\/p>\n\n\n\n<\/a>Ryc. 14 B\u0142\u0105d \u2013 problem z za\u0142adowaniem zawarto\u015bci \u2013 komponentu UI5<\/figcaption><\/figure>\n\n\n\nOznacza to, \u017ce aplikacja nadal nie mo\u017ce odnale\u017a\u0107 jakiego\u015b serwisu oData, a co za tym idzie \u2013 r\u00f3wnie\u017c serwisu ICF. By to zweryfikowa\u0107, nale\u017cy wykona\u0107 Krok 1 oraz Krok 2 ze Scenariusza 1 i sprawdzi\u0107, czy ilo\u015b\u0107 serwis\u00f3w oData V2 i V4 zgadza si\u0119 z dokumentacj\u0105 dla tej aplikacji w Bibliotece FIORI<\/a>. Je\u017celi jakiego\u015b serwisu brakuje, nale\u017cy go doda\u0107 analogicznie jak w Scenariuszu 1, Krok 2(b).<\/p>\n\n\n\n<\/a>Ryc. 15 SAP Fiori Apps Reference \u2013 informacje o u\u017cywanych przez aplikacj\u0119 serwisach ICF i oData<\/figcaption><\/figure>\n\n\n\n<\/a><\/figure>\n\n\n\nB\u0142\u0119dy autoryzacyjne w widokach CDS<\/strong><\/h2>\n\n\n\nWidoki CDS (Core Data Services)<\/strong> w SAP pozwalaj\u0105 na tworzenie zaawansowanych, wydajnych i z\u0142o\u017conych modeli danych oraz logiki aplikacyjnej na poziomie bazy danych. Widoki tego typu mo\u017cemy otwiera\u0107 poprzez SAP FIORI. Jednak dost\u0119p do wspomnianych modeli danych (Virtual Data Model) w widokach CDS jest zawsze kontrolowany poprzez kombinacj\u0119 poni\u017cszych autoryzacji:<\/p>\n\n\n\n\n- klasycznego sprawdzania obiekt\u00f3w autoryzacyjnych \u2013 przez authorization check w kodzie ABAP. W tym przypadku s\u0105 to obiekty (S_TCODE, S_START, S_SERVICE, SDDLVIEW itp.), kt\u00f3re dziej\u0105 si\u0119 podczas uruchamiania aplikacji;<\/li>\n\n\n\n
- weryfikacji autoryzacji u\u017cytkownika na poziomie \u017ar\u00f3d\u0142a danych widoku CDS, odbywaj\u0105cej si\u0119 dynamicznie w czasie korzystania z widoku, gdy pobiera on kolejne dane. Uprawnienia w kodzie widoku CDS s\u0105 na bie\u017c\u0105co por\u00f3wnywane z autoryzacjami u\u017cytkownika, kt\u00f3re posiada w PFCG.<\/li>\n<\/ul>\n\n\n\n
Poni\u017cej schemat z por\u00f3wnuj\u0105cy standardowe podej\u015bcie do weryfikowania autoryzacji dla aplikacji opartych na ABAP<\/strong>, oraz podej\u015bcie DCL<\/strong> dla widok\u00f3w CDS:<\/p>\n\n\n\n<\/a>Ryc. 16 Por\u00f3wnanie standardowego podej\u015bcia ABAP z podej\u015bciem DCL dla widok\u00f3w CDS (schemat zainspirowany z webinaru SAP Fiori Security \u2013 Authorization Debugging<\/a>)<\/figcaption><\/figure>\n\n\n\nPodej\u015bcie DCL (Data Control Language)<\/strong> definiuje, jakie dane u\u017cytkownik mo\u017ce zobaczy\u0107, zale\u017cnie od jego uprawnie\u0144. Stosuje si\u0119 g\u0142\u00f3wnie do ograniczania dost\u0119pu do danych na poziomie rekord\u00f3w (row-level security), a tak\u017ce do kolumn (column-level security) w modelach danych CDS.<\/p>\n\n\n\nRaz zdefiniowane regu\u0142y autoryzacji s\u0105 automatycznie stosowane do wszystkich zapyta\u0144, kt\u00f3re korzystaj\u0105 z danego widoku CDS, zapewniaj\u0105c sp\u00f3jno\u015b\u0107 i redukuj\u0105c ryzyko b\u0142\u0119d\u00f3w. Umo\u017cliwia to dynamiczne i kontekstowe dostosowanie dost\u0119pu do danych na podstawie atrybut\u00f3w u\u017cytkownika, co jest trudniejsze do osi\u0105gni\u0119cia w klasycznym podej\u015bciu.<\/p>\n\n\n\n
Z racji na bardziej elastyczne oraz bardziej wydajne dzia\u0142anie, widoki CDS oraz podej\u015bcie DCL jest stosowane coraz cz\u0119\u015bciej r\u00f3wnie\u017c w standardowych transakcjach SAP. Jako przyk\u0142adem pos\u0142u\u017c\u0119 si\u0119 tutaj aplikacj\u0105 Display Material (MM03).<\/p>\n\n\n\n
\u015aledzenie u\u017cytkownika i symulacja dost\u0119p\u00f3w do danych w CDS<\/strong><\/h3>\n\n\n\nW transakcji STAUTHTRACE<\/strong> uruchomi\u0142em \u015bledzenie swojego u\u017cytkownika w celu weryfikacji, z jakich autoryzacji pr\u00f3buje skorzysta\u0107. Po uruchomieniu aplikacji Display Material (MM03) otrzyma\u0142em nast\u0119puj\u0105ce logi:<\/p>\n\n\n\n<\/a>Ryc. 17 System Trace for Authorization Checks \u2013 logi z rezultatami poszczeg\u00f3lnych autoryzacji \u2013 r\u00f3wnie\u017c do widok\u00f3w CDS<\/figcaption><\/figure>\n\n\n\nJak wida\u0107 w kolumnie CDS Entity pojawi\u0142a si\u0119 informacja o tym, \u017ce cz\u0119\u015b\u0107 danych, kt\u00f3re zosta\u0142y mi wy\u015bwietlone w aplikacji Display Material (MM03) pochodzi z widoku CDS i dost\u0119p do nich jest autoryzowany w\u0142a\u015bnie na poziomie widoku CDS.<\/p>\n\n\n\n
I tutaj istotna uwaga \u2013 tego typu informacji nie otrzymamy w SU53! Dlatego w celu dok\u0142adniejszej weryfikacji log\u00f3w\/b\u0142\u0119d\u00f3w autoryzacyjnych, warto korzysta\u0107 r\u00f3wnie\u017c z transakcji STAUTHTRACE. Ponadto, z poziomu log\u00f3w jestem w stanie bezpo\u015brednio przej\u015b\u0107 do aplikacji CDS Access Control,<\/strong> kt\u00f3ra umo\u017cliwi mi sprawdzenie, co dok\u0142adnie jest weryfikowane w tym widoku CDS w celu wy\u015bwietlania mi odpowiednich danych. Poni\u017cej przyk\u0142ad dla wcze\u015bniej wywo\u0142anego widoku:<\/p>\n\n\n\n<\/a>Ryc. 18 CDS Access Control \u2013 skrypt bazodanowy dla widoku CDS z zapytaniem o autoryzacje<\/figcaption><\/figure>\n\n\n\nJak wida\u0107, mamy fragment kodu, kt\u00f3ry na poziomie widoku CDS por\u00f3wnuje wprowadzone tutaj warto\u015bci obiekt\u00f3w autoryzacyjnych z obiektami autoryzacyjnymi posiadanymi przez u\u017cytkownika aktualnie przegl\u0105daj\u0105cego ten widok CDS i na tej podstawie decyduje, czy ten konkretny zestaw danych mo\u017ce zosta\u0107 wy\u015bwietlony b\u0105d\u017a nie.
W powy\u017cszym przyk\u0142adzie zestaw danych dotyczy dost\u0119pu do grup produktowych (obiekt M_MATE_MAT, pole: BEGRU) i widok CDS sprawdza, jakie dost\u0119py do obiektu posiada u\u017cytkownik i wy\u015bwietli dane tylko dla tych grup produktowych (BEGRU), w kt\u00f3rych u\u017cytkownik posiada w polu aktywno\u015bci warto\u015bci 03 (Display) i F4 (Display in Value Help).<\/p>\n\n\n\n
W przeciwie\u0144stwie do klasycznego podej\u015bcia system nie sprawdza w skrypcie ABAP ka\u017cdej warto\u015bci pola aktywno\u015bci (ACTVT) u\u017cytkownika dla danych grup produktowych z pola BEGRU, tylko \u201epobiera\u201d jego dost\u0119py (aktywno\u015bci) do warto\u015bci z pola BEGRU i na poziome skryptu bazy danych sprawdza, czy w\u015br\u00f3d tych warto\u015bci s\u0105 te wskazane w zapytaniu widoku CDS. Je\u017celi s\u0105 \u2013 wy\u015bwietla te dane. Bardzo pomocnym narz\u0119dziem umo\u017cliwiaj\u0105cych weryfikacj\u0119 do jakich danych w widoku ma dost\u0119p konkretny u\u017cytkownik, jest CDS Access Control Runtime Simulator (SACM<\/strong>):<\/p>\n\n\n\n<\/a>Ryc. 19 Access Control Management \u2013 ekran wyboru narz\u0119dzia<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 20 CDS Access Control Runtime Simulator \u2013 ekran wyboru symulacji dost\u0119p\u00f3w CDS dla wybranego u\u017cytkownika<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 21 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z pe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 22 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z niepe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\nNa Ryc. 20 wida\u0107, \u017ce m\u00f3j u\u017cytkownik ma w tym widoku dost\u0119p do wszystkich danych. Jednak na Ryc. 21 u\u017cytkownik z innymi rolami posiada ju\u017c tylko dost\u0119p do jednej grupy produktowej oznaczonej jako XYZ. I tylko dane dla tej grupy produktowej zostan\u0105 mu wy\u015bwietlone w aplikacji korzystaj\u0105cej z tego widoku CDS. <\/p>\n\n\n\n
Jest to bardzo przydatne w przypadku, gdy u\u017cytkownik nie widzi cz\u0119\u015bci danych, a nie otrzymuje \u017cadnego b\u0142\u0119du autoryzacyjnego, nie widzi go r\u00f3wnie\u017c w SU53 \u2013 wtedy kombinacja narz\u0119dzi STAUTHTRACE + SACM znacznie u\u0142atwia nam analiz\u0119 problemu.<\/p>\n\n\n\n
Narz\u0119dzia do analizy b\u0142\u0119d\u00f3w + najcz\u0119\u015bciej wykrywane b\u0142\u0119dy<\/strong><\/h2>\n\n\n\nSU53<\/strong><\/h3>\n\n\n\nSU53 to narz\u0119dzie, kt\u00f3rego chyba nikomu nie trzeba przedstawia\u0107. Jest to absolutna klasyka analizy problem\u00f3w z autoryzacjami zar\u00f3wno dla system\u00f3w ABAP jak i FIORI \ud83d\ude0a<\/p>\n\n\n\n
W kontek\u015bcie dzia\u0142ania aplikacji FIORI najcz\u0119\u015bciej spotykanym problemem jest brak uprawnie\u0144 u\u017cytkownika do odpowiednich serwis\u00f3w (np. ODATA) zdefiniowanych w obiekcie autoryzacyjnym S_SERVICE. B\u0119dzie to powodowa\u0142o problemy z otwieraniem si\u0119 aplikacji lub nawet brak dost\u0119pu do cz\u0119\u015bci danych czy dost\u0119pnych opcji.<\/p>\n\n\n\n
Poni\u017cej przyk\u0142ad takich log\u00f3w w transakcji SU53:<\/p>\n\n\n\n<\/a>Ryc. 23 Przyk\u0142adowe b\u0142\u0119dy zwi\u0105zane z brakiem dost\u0119pu do serwis\u00f3w oData w obiekcie autoryzacyjnym S_SERVICE<\/figcaption><\/figure>\n\n\n\nBy go naprawi\u0107, nale\u017cy poszuka\u0107 roli zawieraj\u0105cej ju\u017c obiekt z t\u0105 warto\u015bci\u0105 np. poprzez transakcj\u0119 SUIM lub doda\u0107 t\u0119 warto\u015b\u0107 do obiektu S_SERVICE w istniej\u0105cej ju\u017c roli, korzystaj\u0105c z transakcji PFCG:<\/p>\n\n\n\n<\/a>Ryc. 24 Transakcja PFCG \u2013 dodawanie serwis\u00f3w oData jako warto\u015bci do obiektu autoryzacyjnego S_SERVICE w roli<\/figcaption><\/figure>\n\n\n\nWad\u0105 SU53 jest brak log\u00f3w do wszystkich rodzaj\u00f3w b\u0142\u0119d\u00f3w autoryzacyjnych, np. nie otrzymamy w niej log\u00f3w do b\u0142\u0119d\u00f3w zwi\u0105zanych z autoryzacjami widok\u00f3w CDS, kt\u00f3re zosta\u0142y zdefiniowane na poziomie kodu widoku CDS.
Tip<\/strong>! Gdy tylko dowiemy si\u0119, \u017ce wyst\u0105pi\u0142 jaki\u015b problem z aplikacj\u0105 FIORI i sprawdzimy logi w SU53, warto jest od razu je zapisa\u0107, poniewa\u017c s\u0105 one widoczne tylko przez jaki\u015b czas. Unikniemy w ten spos\u00f3b sytuacji, w kt\u00f3rej b\u0119dziemy musieli prosi\u0107 u\u017cytkownika o ponowne \u201ewygenerowanie\u201d b\u0142\u0119du \ud83d\ude0a Ewentualnie mo\u017cemy poprosi\u0107 u\u017cytkownika o pobranie i przes\u0142anie nam log\u00f3w.<\/p>\n\n\n\nApp Support<\/strong><\/h3>\n\n\n\nW uproszczeniu odpowiednik SU53 lecz dost\u0119pny bezpo\u015brednio z poziomu SAP FIORI Launchpad. Aplikacja ta nie jest jednak domy\u015blnie dost\u0119pna \u2013 trzeba j\u0105 aktywowa\u0107 oraz katalog FIORI doda\u0107 do wybranych przez nas r\u00f3l w SAP. Aplikacja prezentuje si\u0119 jak poni\u017cej:<\/p>\n\n\n\n<\/a>Ryc. 25 Ekran g\u0142\u00f3wny aplikacji App Support [\u0179r\u00f3d\u0142o: SAP Fiori for SAP S\/4HANA \u2013 10 health checks for the SAP Fiori launchpad<\/strong><\/a>]<\/figcaption><\/figure>\n\n\n\nDokumentacja SAP w jaki spos\u00f3b aktywowa\u0107 aplikacj\u0119 dla u\u017cytkownik\u00f3w: Setting Up App Support<\/a>.<\/p>\n\n\n\nSTAUTHTRACE<\/strong><\/h3>\n\n\n\nStauthtrace umo\u017cliwia \u015bledzenie, kt\u00f3re obiekty autoryzacyjne s\u0105 sprawdzane podczas wykonywania okre\u015blonych operacji przez u\u017cytkownika. Dzi\u0119ki temu mo\u017cna zidentyfikowa\u0107, jakie autoryzacje s\u0105 wymagane, a kt\u00f3re s\u0105 przyczyn\u0105 problem\u00f3w. Mo\u017cemy wybra\u0107 zakres u\u017cytkownik\u00f3w, dla kt\u00f3rych chcemy w\u0142\u0105czy\u0107 trace oraz specyficzne operacje, jakie chcemy \u015bledzi\u0107:<\/p>\n\n\n\n<\/a>Ryc. 26 System Trace for Authorization Checks \u2013 STAUTHTRACE<\/figcaption><\/figure>\n\n\n\nNarz\u0119dzie wska\u017ce nam r\u00f3wnie\u017c b\u0142\u0119dy zwi\u0105zane z uprawnieniami do widok\u00f3w CDS.<\/p>\n\n\n\n
\/n\/IWFND\/ERROR_LOG<\/strong><\/h3>\n\n\n\nNarz\u0119dzie diagnostyczne, kt\u00f3re pozwala weryfikowa\u0107 logi b\u0142\u0119d\u00f3w podczas przetwarzania request\u00f3w serwis\u00f3w oData \u2013 b\u0142\u0119dy na poziomie komunikacji mi\u0119dzy SAP Gateway a systemem backendowym, r\u00f3wnie\u017c zwi\u0105zane z przetwarzaniem danych:<\/p>\n\n\n\n<\/a>Ryc. 27 SAP Gateway Error Log \u2013 Frontend<\/figcaption><\/figure>\n\n\n\n\/n\/IWBEP\/ERROR_LOG<\/strong><\/h3>\n\n\n\nPodobnie, jak poprzednia aplikacja, \/n\/IWBEP\/ERROR_LOG umo\u017cliwia weryfikacj\u0119 log\u00f3w b\u0142\u0119d\u00f3w podczas przetwarzania \u017c\u0105da\u0144 oData. Jednak w tym przypadku ju\u017c po stronie Backendu. Pozwala r\u00f3wnie\u017c na analiz\u0119 b\u0142\u0119d\u00f3w zwi\u0105zanych z obiektem autoryzacyjnym RFC \u2013 S_RFCACL, o kt\u00f3rym wspomina\u0142em wcze\u015bniej:<\/p>\n\n\n\n<\/a>Ryc. 28 SAP Backend Error Log<\/figcaption><\/figure>\n\n\n\nST22<\/strong><\/h3>\n\n\n\nTransakcja s\u0142u\u017c\u0105c\u0105 do analizy b\u0142\u0119d\u00f3w ABAP. Umieszczam j\u0105 tutaj, poniewa\u017c cz\u0119sto co\u015b, co na pierwszy rzut oka wygl\u0105da na b\u0142\u0105d autoryzacyjny, wcale nie musi nim by\u0107 \ud83d\ude0a Przyk\u0142adowo \u2013 u\u017cytkownik otrzymuje komunikat o jakim\u015b b\u0142\u0119dzie, jednak jego tre\u015b\u0107 nie jest jednoznaczna, ale sugeruje brak jakiego\u015b dost\u0119pu. Okazuje si\u0119 jednak, \u017ce nie mamy \u017cadnych log\u00f3w b\u0142\u0119d\u00f3w, np. w transakcji SU53, wtedy warto zweryfikowa\u0107 logi w transakcji ST22, by upewni\u0107 si\u0119, czy nie jest to b\u0142\u0105d ABAB\/Developerski:<\/p>\n\n\n\n<\/a>Ryc. 29 ABAP Runtime Errors \u2013 ST22<\/figcaption><\/figure>\n\n\n\nNarz\u0119dzia\/Tryb Developera w przegl\u0105darce internetowej (Chrome, Firefox, Edge, Opera itp.)<\/strong><\/h3>\n\n\n\nWiele rzeczy w SAP FIORI dzieje si\u0119 na poziomie przegl\u0105darki, wi\u0119c za pomoc\u0105 wbudowanych narz\u0119dzi developerskich i ich konsol jeste\u015bmy w stanie namierzy\u0107 miejsce potencjalnego problemu \u2013 zweryfikowa\u0107, jakie \u017c\u0105danie by\u0142o wywo\u0142ywane, przez jaki serwis\/us\u0142ug\u0119, jaki b\u0142\u0105d to powoduje. Poni\u017cej zrzut ekranu z przyk\u0142adowego b\u0142\u0119du oraz informacje, jakie jeste\u015bmy w stanie odczyta\u0107 z narz\u0119dzia developerskiego:<\/p>\n\n\n\n<\/a>Ryc. 30 DevTools w przegl\u0105darce Google Chrome \u2013 zaznaczony fragment wskazuje na problem z konkretnym serwisem oData<\/figcaption><\/figure>\n\n\n\nDodatkowe przydatne narz\u0119dzia<\/strong><\/h3>\n\n\n\n\n- \/UI5\/APP_INDEX_CALCULATE<\/strong> \u2013 transakcja s\u0142u\u017cy do generowania lub odtwarzania indeksu aplikacji SAPUI5, co jest kluczowe po wdro\u017ceniu nowych aplikacji Fiori, aktualizacjach systemu, czy zmianach w konfiguracji aplikacji. U\u017cycie tej transakcji jest cz\u0119sto zalecane w przypadku problem\u00f3w z wy\u015bwietlaniem aplikacji Fiori, takich jak brakuj\u0105ce aplikacje lub problemy z dost\u0119pno\u015bci\u0105 \u2013 szczeg\u00f3lnie, gdy dokonali\u015bmy w nich jakich\u015b zmian.<\/li>\n\n\n\n
- \/n\/IWFND\/CACHE_CLEANUP<\/strong> \u2013 w przypadku problem\u00f3w z us\u0142ugami oData lub aplikacjami Fiori, takich jak nieprawid\u0142owe dzia\u0142anie aplikacji, brakuj\u0105ce lub nieaktualne dane, u\u017cycie tej transakcji mo\u017ce pom\u00f3c w przywr\u00f3ceniu poprawnego dzia\u0142ania przez wyczyszczenie cache, co zmusi system do ponownego za\u0142adowania aktualnych danych z backendu.<\/li>\n\n\n\n
- SM20 (Security Audit Log)<\/strong> \u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w u\u017cytkownika np. u\u017cytych przez niego transakcji.<\/li>\n\n\n\n
- SLG1 <\/strong>\u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w systemowych wywo\u0142anych przez u\u017cytkownika np. w konkretnej transakcji lub programie.<\/li>\n\n\n\n
- Http Trace tools<\/strong> \u2013 r\u00f3\u017cne narz\u0119dzia s\u0142u\u017c\u0105ce do monitorowania \u017c\u0105da\u0144 Http czy oData w kontek\u015bcie aplikacji SAP FIORI \u2013 mo\u017cna przejrze\u0107 szczeg\u00f3\u0142owe informacje o ka\u017cdym \u017c\u0105daniu, takie jak metoda (GET, POST, PUT, DELETE), nag\u0142\u00f3wki, body, status odpowiedzi, czas odpowiedzi i inne.<\/li>\n<\/ul>\n\n\n\n
Inne b\u0142\u0119dy<\/strong><\/h2>\n\n\n\n\n- Niepoprawnie nadany alias systemu lub jego brak na poziomie tworzenia\/konfiguracji nowej aplikacji FIORI, a dok\u0142adniej serwis\u00f3w, kt\u00f3re j\u0105 obs\u0142uguj\u0105. Skutkuje to brakiem widoczno\u015bci aplikacji w \u015brodowisku FIORI, po wi\u0119cej informacji i przyk\u0142ad\u00f3w odsy\u0142am tutaj: SAP Community – No System Alias found for Service ” and user ”<\/strong><\/a> oraz
Ju\u017c na pierwszy rzut oka mo\u017cna si\u0119 domy\u015ble\u0107, \u017ce problemy mog\u0105 pojawi\u0107 si\u0119 na poziomie ka\u017cdej z tych warstw.<\/p>\n\n\n\n
Najcz\u0119\u015bciej wyst\u0119puj\u0105ce problemy<\/strong><\/h3>\n\n\n\nPrzyjrzyjmy si\u0119 wi\u0119c najcz\u0119\u015bciej wyst\u0119puj\u0105cym problemom oraz ich przyczynom.<\/p>\n\n\n\n
Uwaga!<\/strong> Zanim przejdziemy dalej \ud83d\ude0a Artyku\u0142 opisuje sytuacje, w kt\u00f3rych u\u017cytkownik teoretycznie powinien posiada\u0107 ju\u017c dost\u0119p do danych aplikacji SAP FIORI, a mimo to nadal ma pewne problemy z ich widoczno\u015bci\u0105 lub dzia\u0142aniem. Przyjmuj\u0119 r\u00f3wnie\u017c, \u017ce czytelnik pos\u0142uguje si\u0119 transakcjami takimi jak SUIM, SU01 oraz PFCG, by m\u00f3c odnale\u017a\u0107 rol\u0119 z brakuj\u0105cym obiektem autoryzacyjnym (wynikaj\u0105cym np. z log\u00f3w SU53) i przypisa\u0107 j\u0105 u\u017cytkownikowi, zmodyfikowa\u0107 wybran\u0105 istniej\u0105c\u0105 rol\u0119 lub utworzy\u0107 now\u0105 rol\u0119 w systemie SAP. <\/p>\n\n\n\nDla przypomnienia, weryfikacji, czy u\u017cytkownik posiada ju\u017c odpowiedni\u0105 role, kt\u00f3ra teoretycznie powinna mu dawa\u0107 dost\u0119p do danej aplikacji FIORI, mo\u017cemy dokona\u0107 na dwa sposoby:<\/p>\n\n\n\n
\n- W przypadku standardowych aplikacji SAP FIORI otwieramy og\u00f3lnodost\u0119pn\u0105 Bibliotek\u0119 aplikacji SAP FIORI<\/a>, wybieramy kategori\u0119 All apps, nast\u0119pnie odpowiedni\u0105 wersj\u0119 systemu SAP i w zak\u0142adce Configuration w tabeli Business Role(s) mamy list\u0119 r\u00f3l, kt\u00f3re umo\u017cliwiaj\u0105 dost\u0119p do wybranej aplikacji. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n
<\/a>Ryc. 2 SAP Fiori Apps Reference Library \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\n\n- W przypadku standardowych oraz niestandardowych (custom) aplikacji SAP FIORI otwieramy w SAP GUI transakcj\u0119 \/n\/UI2\/FLPCM_CUST,<\/strong> przechodzimy do zak\u0142adki Tiles\/Target Mappings i wpisujemy dok\u0142adn\u0105 nazw\u0119 naszego kafelka FIORI (wielko\u015b\u0107 liter i spacje maj\u0105 znaczenie!), zaznaczamy go i wybieramy opcj\u0119 Show usage in Roles<\/strong>. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n
<\/a>Ryc. 3 Launchpad Content Manager \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\nWarto r\u00f3wnie\u017c zwr\u00f3ci\u0107 uwag\u0119, czy wyszukana przez nas aplikacja FIORI znajduje si\u0119 w katalogu FIORI w formie (Tile+TM)<\/strong> i czy ten katalog jest przypisany do roli FIORI, kt\u00f3r\u0105 u\u017cytkownik posiada lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\nBy to zweryfikowa\u0107, nale\u017cy dokona\u0107 tych samych krok\u00f3w, co w poprzednich punktach, i na ko\u0144cu wybra\u0107 opcj\u0119 Show usage in Roles<\/strong>, sprawdzi\u0107 kolumn\u0119 Reference Details<\/strong> i w transakcji PFCG upewni\u0107 si\u0119, czy katalog jest przypisany do roli, kt\u00f3r\u0105 u\u017cytkownik ma lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\n<\/a>Ryc. 4 Launchpad Content Manager \u2013 lista katalog\u00f3w zawieraj\u0105cych Tile + TM<\/figcaption><\/figure>\n\n\n\nJe\u017celi dana aplikacja nie jest dost\u0119pna w \u017cadnym katalogu z informacj\u0105, \u017ce sk\u0142ada si\u0119 ona z (Tile + TM), <\/strong>wtedy brakuj\u0105cy element Tile lub TM nale\u017cy doda\u0107 do odpowiedniego katalogu FIORI. Jest to jednak kwestia na zupe\u0142nie osobny artyku\u0142. <\/p>\n\n\n\nNa ten moment pozostawiam link do dokumentacji SAP, kt\u00f3ra opisuje podobne przypadki: SAP Fiori Launchpad Content Manager \u2013 Adding and Removing Catalog Content<\/a>.<\/p>\n\n\n\nB\u0142\u0119dy podczas otwierania kafelka FIORI<\/strong><\/h2>\n\n\n\nScenariusz 1.<\/strong><\/h3>\n\n\n\nW SAP Launchpad znale\u017ali\u015bmy interesuj\u0105c\u0105 nas aplikacj\u0119 FIORI. Chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/404 \u2013 przyk\u0142ad takiego b\u0142\u0119du poni\u017cej:<\/p>\n\n\n\n<\/a>Ryc. 5 B\u0142\u0105d 403 \u2013 aplikacja nie wczytuje si\u0119 \u2013 brak dost\u0119pu do zawarto\u015bci<\/figcaption><\/figure>\n\n\n\nOznacza to, \u017ce jaki\u015b serwis oData (us\u0142uga, kt\u00f3ra komunikuje si\u0119 pomi\u0119dzy frontendem i backendem) nie dzia\u0142a poprawnie, nie jest aktywny lub w og\u00f3le nie zosta\u0142 zaimplementowany w systemie.<\/p>\n\n\n\n
By to przeanalizowa\u0107 i naprawi\u0107 nale\u017cy:
Krok 1.<\/strong> Uruchomi\u0107 transakcj\u0119 \/n\/UI2\/FLPCM_CUST<\/strong><\/p>\n\n\n\nKrok 2.<\/strong> Wyszuka\u0107 w zak\u0142adce Tiles\/Target Mappings<\/strong> interesuj\u0105c\u0105 nas aplikacj\u0119, zaznaczy\u0107 j\u0105 i wybra\u0107 opcj\u0119 Services -> Check and Show Services.<\/strong> Sprawdzi\u0107 zak\u0142adki oData V2 Services oraz oData V4 Services.<\/strong> Poni\u017cej zrzuty ekran\u00f3w z transakcji:<\/p>\n\n\n\n<\/a>Ryc. 6 Launchpad Content Manager \u2013 Check and Show Services<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 7 Launchpad Content Manager \u2013 lista serwis\u00f3w aplikacji<\/figcaption><\/figure>\n\n\n\nJe\u017celi w tych zak\u0142adkach kt\u00f3rykolwiek z serwis\u00f3w oData posiada czerwony status (jest nieaktywny) \u2013 nale\u017cy: <\/p>\n\n\n\n
\n- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>. W kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData, zaznaczy\u0107 go i w lewym dolnym rogu w oknie ICF Services<\/strong>, aktywowa\u0107 go za pomoc\u0105 opcji ICF Node -> Activate<\/strong>:<\/li>\n<\/ul>\n\n\n\n
<\/a>Ryc. 8 Activate and Maintain Services \u2013 aktywacja serwisu oData<\/figcaption><\/figure>\n\n\n\nJe\u017celi status serwisu si\u0119 nie zmieni\u0142 i otrzymamy komunikat systemowy z informacj\u0105, \u017ce nie mo\u017cemy aktywowa\u0107 serwisu, nale\u017cy wtedy wybra\u0107 opcj\u0119 ICF Node \u2013> Configure SICF<\/strong>. Zostaniemy przekierowani do transakcji SICF<\/strong> \u2013 bezpo\u015brednio do drzewka obiekt\u00f3w z naszym serwisem. Je\u017celi jest on dezaktywowany (wyszarzony), nale\u017cy klikn\u0105\u0107 na niego prawym przyciskiem myszy i wybra\u0107 opcj\u0119 Activate Service<\/strong> i w nast\u0119pnym oknie zatwierdzi\u0107 to, wybieraj\u0105c drug\u0105 opcj\u0119<\/strong> Yes<\/strong>, jak na poni\u017cszych zrzutach ekranu:<\/p>\n\n\n\n<\/a>Ryc. 9 Activate and Maintain Services \u2013 przej\u015bcie do konfiguracji SICF<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 10 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\nGdy wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakcji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\n\n- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>, w kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData. Je\u017celi jednak nie mo\u017cemy go wyszuka\u0107, oznacza to, \u017ce nie zosta\u0142 on zaimplementowany w naszym systemie.Jak tego dokona\u0107? Tutaj odsy\u0142am do poni\u017cszych artyku\u0142\u00f3w: \n
\n- dla oData V2: SAP Note 2525224 \u2013 Missing OData Service when Attempting to Add Service in \/IWFND\/MAINT_SERVICES<\/a> i Activate OData Services for Sana SAP Fiori Apps<\/a><\/li>\n\n\n\n
- dla oData V4: Publish\/Activate an oData V4 Service Group in SAP<\/a> i OData V4 Service Catalog<\/a><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n
Gdy serwisy zostan\u0105 zaimplementowane, aktywowane i wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakacji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\nKrok 3.<\/strong> Przetestowanie dzia\u0142ania aplikacji w SAP FIORI Launchpad, najlepiej po od\u015bwie\u017ceniu strony z ewentualnym wyczyszczeniu ciasteczek\/cache przegl\u0105darki lub ponownym zalogowaniu si\u0119 do SAP FIORI.<\/p>\n\n\n\nScenariusz 2.<\/strong><\/h3>\n\n\n\nW SAP Launchpad znale\u017ali\u015bmy interesuj\u0105ca nas aplikacj\u0119 FIORI, chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/500 \u2013 Request Failed, przyk\u0142ad:<\/p>\n\n\n\n<\/a>Ryc. 11 B\u0142\u0105d \u2013 problem z za\u0142adowaniem komponentu UI5<\/figcaption><\/figure>\n\n\n\nNale\u017cy post\u0119powa\u0107 analogicznie jak w Scenariuszu 1, z t\u0105 r\u00f3\u017cnic\u0105, \u017ce w Kroku 2, sprawdzamy zak\u0142adk\u0119 ICF Services<\/strong>. Je\u017celi jakikolwiek serwis ICF jest nieaktywny, nale\u017cy go zaznaczy\u0107 i wybra\u0107 opcj\u0119 Define Services<\/strong>, a potem aktywowa\u0107 serwis ICF analogicznie, jak w Scenariuszu 1 \u2013 Krok 2 w momencie, gdy system przekierowa\u0142 nas do transakcji SICF:<\/p>\n\n\n\n<\/a>Ryc. 12 Launchpad Content Manager \u2013 nieaktywny serwis ICF<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 13 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\nB\u0142\u0105d 403\/500 \u2013 Request Failed lub Component failed mo\u017ce mie\u0107 r\u00f3wnie\u017c pod\u0142o\u017ce bezpo\u015brednio autoryzacyjne w systemie SAP S\/4 HANA. U\u017cytkownik mo\u017ce nie posiada\u0107 odpowiednich dost\u0119p\u00f3w do obiektu autoryzacyjnego S_RFCACL<\/strong>, co diagnozujemy za pomoc\u0105 transakcji SU53, STAUTHTRACE lub App Support (w FIORI). O tych narz\u0119dziach wspomn\u0119 jeszcze w dalszej cz\u0119\u015bci artyku\u0142u.<\/p>\n\n\n\nScenariusz 3.<\/strong><\/h3>\n\n\n\nKroki wykonane w Scenariuszach 1. oraz 2. nie pomog\u0142y, a dodatkowo otrzymujemy poni\u017cszy komunikat:<\/p>\n\n\n\n<\/a>Ryc. 14 B\u0142\u0105d \u2013 problem z za\u0142adowaniem zawarto\u015bci \u2013 komponentu UI5<\/figcaption><\/figure>\n\n\n\nOznacza to, \u017ce aplikacja nadal nie mo\u017ce odnale\u017a\u0107 jakiego\u015b serwisu oData, a co za tym idzie \u2013 r\u00f3wnie\u017c serwisu ICF. By to zweryfikowa\u0107, nale\u017cy wykona\u0107 Krok 1 oraz Krok 2 ze Scenariusza 1 i sprawdzi\u0107, czy ilo\u015b\u0107 serwis\u00f3w oData V2 i V4 zgadza si\u0119 z dokumentacj\u0105 dla tej aplikacji w Bibliotece FIORI<\/a>. Je\u017celi jakiego\u015b serwisu brakuje, nale\u017cy go doda\u0107 analogicznie jak w Scenariuszu 1, Krok 2(b).<\/p>\n\n\n\n<\/a>Ryc. 15 SAP Fiori Apps Reference \u2013 informacje o u\u017cywanych przez aplikacj\u0119 serwisach ICF i oData<\/figcaption><\/figure>\n\n\n\n<\/a><\/figure>\n\n\n\nB\u0142\u0119dy autoryzacyjne w widokach CDS<\/strong><\/h2>\n\n\n\nWidoki CDS (Core Data Services)<\/strong> w SAP pozwalaj\u0105 na tworzenie zaawansowanych, wydajnych i z\u0142o\u017conych modeli danych oraz logiki aplikacyjnej na poziomie bazy danych. Widoki tego typu mo\u017cemy otwiera\u0107 poprzez SAP FIORI. Jednak dost\u0119p do wspomnianych modeli danych (Virtual Data Model) w widokach CDS jest zawsze kontrolowany poprzez kombinacj\u0119 poni\u017cszych autoryzacji:<\/p>\n\n\n\n\n- klasycznego sprawdzania obiekt\u00f3w autoryzacyjnych \u2013 przez authorization check w kodzie ABAP. W tym przypadku s\u0105 to obiekty (S_TCODE, S_START, S_SERVICE, SDDLVIEW itp.), kt\u00f3re dziej\u0105 si\u0119 podczas uruchamiania aplikacji;<\/li>\n\n\n\n
- weryfikacji autoryzacji u\u017cytkownika na poziomie \u017ar\u00f3d\u0142a danych widoku CDS, odbywaj\u0105cej si\u0119 dynamicznie w czasie korzystania z widoku, gdy pobiera on kolejne dane. Uprawnienia w kodzie widoku CDS s\u0105 na bie\u017c\u0105co por\u00f3wnywane z autoryzacjami u\u017cytkownika, kt\u00f3re posiada w PFCG.<\/li>\n<\/ul>\n\n\n\n
Poni\u017cej schemat z por\u00f3wnuj\u0105cy standardowe podej\u015bcie do weryfikowania autoryzacji dla aplikacji opartych na ABAP<\/strong>, oraz podej\u015bcie DCL<\/strong> dla widok\u00f3w CDS:<\/p>\n\n\n\n<\/a>Ryc. 16 Por\u00f3wnanie standardowego podej\u015bcia ABAP z podej\u015bciem DCL dla widok\u00f3w CDS (schemat zainspirowany z webinaru SAP Fiori Security \u2013 Authorization Debugging<\/a>)<\/figcaption><\/figure>\n\n\n\nPodej\u015bcie DCL (Data Control Language)<\/strong> definiuje, jakie dane u\u017cytkownik mo\u017ce zobaczy\u0107, zale\u017cnie od jego uprawnie\u0144. Stosuje si\u0119 g\u0142\u00f3wnie do ograniczania dost\u0119pu do danych na poziomie rekord\u00f3w (row-level security), a tak\u017ce do kolumn (column-level security) w modelach danych CDS.<\/p>\n\n\n\nRaz zdefiniowane regu\u0142y autoryzacji s\u0105 automatycznie stosowane do wszystkich zapyta\u0144, kt\u00f3re korzystaj\u0105 z danego widoku CDS, zapewniaj\u0105c sp\u00f3jno\u015b\u0107 i redukuj\u0105c ryzyko b\u0142\u0119d\u00f3w. Umo\u017cliwia to dynamiczne i kontekstowe dostosowanie dost\u0119pu do danych na podstawie atrybut\u00f3w u\u017cytkownika, co jest trudniejsze do osi\u0105gni\u0119cia w klasycznym podej\u015bciu.<\/p>\n\n\n\n
Z racji na bardziej elastyczne oraz bardziej wydajne dzia\u0142anie, widoki CDS oraz podej\u015bcie DCL jest stosowane coraz cz\u0119\u015bciej r\u00f3wnie\u017c w standardowych transakcjach SAP. Jako przyk\u0142adem pos\u0142u\u017c\u0119 si\u0119 tutaj aplikacj\u0105 Display Material (MM03).<\/p>\n\n\n\n
\u015aledzenie u\u017cytkownika i symulacja dost\u0119p\u00f3w do danych w CDS<\/strong><\/h3>\n\n\n\nW transakcji STAUTHTRACE<\/strong> uruchomi\u0142em \u015bledzenie swojego u\u017cytkownika w celu weryfikacji, z jakich autoryzacji pr\u00f3buje skorzysta\u0107. Po uruchomieniu aplikacji Display Material (MM03) otrzyma\u0142em nast\u0119puj\u0105ce logi:<\/p>\n\n\n\n<\/a>Ryc. 17 System Trace for Authorization Checks \u2013 logi z rezultatami poszczeg\u00f3lnych autoryzacji \u2013 r\u00f3wnie\u017c do widok\u00f3w CDS<\/figcaption><\/figure>\n\n\n\nJak wida\u0107 w kolumnie CDS Entity pojawi\u0142a si\u0119 informacja o tym, \u017ce cz\u0119\u015b\u0107 danych, kt\u00f3re zosta\u0142y mi wy\u015bwietlone w aplikacji Display Material (MM03) pochodzi z widoku CDS i dost\u0119p do nich jest autoryzowany w\u0142a\u015bnie na poziomie widoku CDS.<\/p>\n\n\n\n
I tutaj istotna uwaga \u2013 tego typu informacji nie otrzymamy w SU53! Dlatego w celu dok\u0142adniejszej weryfikacji log\u00f3w\/b\u0142\u0119d\u00f3w autoryzacyjnych, warto korzysta\u0107 r\u00f3wnie\u017c z transakcji STAUTHTRACE. Ponadto, z poziomu log\u00f3w jestem w stanie bezpo\u015brednio przej\u015b\u0107 do aplikacji CDS Access Control,<\/strong> kt\u00f3ra umo\u017cliwi mi sprawdzenie, co dok\u0142adnie jest weryfikowane w tym widoku CDS w celu wy\u015bwietlania mi odpowiednich danych. Poni\u017cej przyk\u0142ad dla wcze\u015bniej wywo\u0142anego widoku:<\/p>\n\n\n\n<\/a>Ryc. 18 CDS Access Control \u2013 skrypt bazodanowy dla widoku CDS z zapytaniem o autoryzacje<\/figcaption><\/figure>\n\n\n\nJak wida\u0107, mamy fragment kodu, kt\u00f3ry na poziomie widoku CDS por\u00f3wnuje wprowadzone tutaj warto\u015bci obiekt\u00f3w autoryzacyjnych z obiektami autoryzacyjnymi posiadanymi przez u\u017cytkownika aktualnie przegl\u0105daj\u0105cego ten widok CDS i na tej podstawie decyduje, czy ten konkretny zestaw danych mo\u017ce zosta\u0107 wy\u015bwietlony b\u0105d\u017a nie.
W powy\u017cszym przyk\u0142adzie zestaw danych dotyczy dost\u0119pu do grup produktowych (obiekt M_MATE_MAT, pole: BEGRU) i widok CDS sprawdza, jakie dost\u0119py do obiektu posiada u\u017cytkownik i wy\u015bwietli dane tylko dla tych grup produktowych (BEGRU), w kt\u00f3rych u\u017cytkownik posiada w polu aktywno\u015bci warto\u015bci 03 (Display) i F4 (Display in Value Help).<\/p>\n\n\n\n
W przeciwie\u0144stwie do klasycznego podej\u015bcia system nie sprawdza w skrypcie ABAP ka\u017cdej warto\u015bci pola aktywno\u015bci (ACTVT) u\u017cytkownika dla danych grup produktowych z pola BEGRU, tylko \u201epobiera\u201d jego dost\u0119py (aktywno\u015bci) do warto\u015bci z pola BEGRU i na poziome skryptu bazy danych sprawdza, czy w\u015br\u00f3d tych warto\u015bci s\u0105 te wskazane w zapytaniu widoku CDS. Je\u017celi s\u0105 \u2013 wy\u015bwietla te dane. Bardzo pomocnym narz\u0119dziem umo\u017cliwiaj\u0105cych weryfikacj\u0119 do jakich danych w widoku ma dost\u0119p konkretny u\u017cytkownik, jest CDS Access Control Runtime Simulator (SACM<\/strong>):<\/p>\n\n\n\n<\/a>Ryc. 19 Access Control Management \u2013 ekran wyboru narz\u0119dzia<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 20 CDS Access Control Runtime Simulator \u2013 ekran wyboru symulacji dost\u0119p\u00f3w CDS dla wybranego u\u017cytkownika<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 21 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z pe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\n<\/a>Ryc. 22 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z niepe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\nNa Ryc. 20 wida\u0107, \u017ce m\u00f3j u\u017cytkownik ma w tym widoku dost\u0119p do wszystkich danych. Jednak na Ryc. 21 u\u017cytkownik z innymi rolami posiada ju\u017c tylko dost\u0119p do jednej grupy produktowej oznaczonej jako XYZ. I tylko dane dla tej grupy produktowej zostan\u0105 mu wy\u015bwietlone w aplikacji korzystaj\u0105cej z tego widoku CDS. <\/p>\n\n\n\n
Jest to bardzo przydatne w przypadku, gdy u\u017cytkownik nie widzi cz\u0119\u015bci danych, a nie otrzymuje \u017cadnego b\u0142\u0119du autoryzacyjnego, nie widzi go r\u00f3wnie\u017c w SU53 \u2013 wtedy kombinacja narz\u0119dzi STAUTHTRACE + SACM znacznie u\u0142atwia nam analiz\u0119 problemu.<\/p>\n\n\n\n
Narz\u0119dzia do analizy b\u0142\u0119d\u00f3w + najcz\u0119\u015bciej wykrywane b\u0142\u0119dy<\/strong><\/h2>\n\n\n\nSU53<\/strong><\/h3>\n\n\n\nSU53 to narz\u0119dzie, kt\u00f3rego chyba nikomu nie trzeba przedstawia\u0107. Jest to absolutna klasyka analizy problem\u00f3w z autoryzacjami zar\u00f3wno dla system\u00f3w ABAP jak i FIORI \ud83d\ude0a<\/p>\n\n\n\n
W kontek\u015bcie dzia\u0142ania aplikacji FIORI najcz\u0119\u015bciej spotykanym problemem jest brak uprawnie\u0144 u\u017cytkownika do odpowiednich serwis\u00f3w (np. ODATA) zdefiniowanych w obiekcie autoryzacyjnym S_SERVICE. B\u0119dzie to powodowa\u0142o problemy z otwieraniem si\u0119 aplikacji lub nawet brak dost\u0119pu do cz\u0119\u015bci danych czy dost\u0119pnych opcji.<\/p>\n\n\n\n
Poni\u017cej przyk\u0142ad takich log\u00f3w w transakcji SU53:<\/p>\n\n\n\n<\/a>Ryc. 23 Przyk\u0142adowe b\u0142\u0119dy zwi\u0105zane z brakiem dost\u0119pu do serwis\u00f3w oData w obiekcie autoryzacyjnym S_SERVICE<\/figcaption><\/figure>\n\n\n\nBy go naprawi\u0107, nale\u017cy poszuka\u0107 roli zawieraj\u0105cej ju\u017c obiekt z t\u0105 warto\u015bci\u0105 np. poprzez transakcj\u0119 SUIM lub doda\u0107 t\u0119 warto\u015b\u0107 do obiektu S_SERVICE w istniej\u0105cej ju\u017c roli, korzystaj\u0105c z transakcji PFCG:<\/p>\n\n\n\n<\/a>Ryc. 24 Transakcja PFCG \u2013 dodawanie serwis\u00f3w oData jako warto\u015bci do obiektu autoryzacyjnego S_SERVICE w roli<\/figcaption><\/figure>\n\n\n\nWad\u0105 SU53 jest brak log\u00f3w do wszystkich rodzaj\u00f3w b\u0142\u0119d\u00f3w autoryzacyjnych, np. nie otrzymamy w niej log\u00f3w do b\u0142\u0119d\u00f3w zwi\u0105zanych z autoryzacjami widok\u00f3w CDS, kt\u00f3re zosta\u0142y zdefiniowane na poziomie kodu widoku CDS.
Tip<\/strong>! Gdy tylko dowiemy si\u0119, \u017ce wyst\u0105pi\u0142 jaki\u015b problem z aplikacj\u0105 FIORI i sprawdzimy logi w SU53, warto jest od razu je zapisa\u0107, poniewa\u017c s\u0105 one widoczne tylko przez jaki\u015b czas. Unikniemy w ten spos\u00f3b sytuacji, w kt\u00f3rej b\u0119dziemy musieli prosi\u0107 u\u017cytkownika o ponowne \u201ewygenerowanie\u201d b\u0142\u0119du \ud83d\ude0a Ewentualnie mo\u017cemy poprosi\u0107 u\u017cytkownika o pobranie i przes\u0142anie nam log\u00f3w.<\/p>\n\n\n\nApp Support<\/strong><\/h3>\n\n\n\nW uproszczeniu odpowiednik SU53 lecz dost\u0119pny bezpo\u015brednio z poziomu SAP FIORI Launchpad. Aplikacja ta nie jest jednak domy\u015blnie dost\u0119pna \u2013 trzeba j\u0105 aktywowa\u0107 oraz katalog FIORI doda\u0107 do wybranych przez nas r\u00f3l w SAP. Aplikacja prezentuje si\u0119 jak poni\u017cej:<\/p>\n\n\n\n<\/a>Ryc. 25 Ekran g\u0142\u00f3wny aplikacji App Support [\u0179r\u00f3d\u0142o: SAP Fiori for SAP S\/4HANA \u2013 10 health checks for the SAP Fiori launchpad<\/strong><\/a>]<\/figcaption><\/figure>\n\n\n\nDokumentacja SAP w jaki spos\u00f3b aktywowa\u0107 aplikacj\u0119 dla u\u017cytkownik\u00f3w: Setting Up App Support<\/a>.<\/p>\n\n\n\nSTAUTHTRACE<\/strong><\/h3>\n\n\n\nStauthtrace umo\u017cliwia \u015bledzenie, kt\u00f3re obiekty autoryzacyjne s\u0105 sprawdzane podczas wykonywania okre\u015blonych operacji przez u\u017cytkownika. Dzi\u0119ki temu mo\u017cna zidentyfikowa\u0107, jakie autoryzacje s\u0105 wymagane, a kt\u00f3re s\u0105 przyczyn\u0105 problem\u00f3w. Mo\u017cemy wybra\u0107 zakres u\u017cytkownik\u00f3w, dla kt\u00f3rych chcemy w\u0142\u0105czy\u0107 trace oraz specyficzne operacje, jakie chcemy \u015bledzi\u0107:<\/p>\n\n\n\n<\/a>Ryc. 26 System Trace for Authorization Checks \u2013 STAUTHTRACE<\/figcaption><\/figure>\n\n\n\nNarz\u0119dzie wska\u017ce nam r\u00f3wnie\u017c b\u0142\u0119dy zwi\u0105zane z uprawnieniami do widok\u00f3w CDS.<\/p>\n\n\n\n
\/n\/IWFND\/ERROR_LOG<\/strong><\/h3>\n\n\n\nNarz\u0119dzie diagnostyczne, kt\u00f3re pozwala weryfikowa\u0107 logi b\u0142\u0119d\u00f3w podczas przetwarzania request\u00f3w serwis\u00f3w oData \u2013 b\u0142\u0119dy na poziomie komunikacji mi\u0119dzy SAP Gateway a systemem backendowym, r\u00f3wnie\u017c zwi\u0105zane z przetwarzaniem danych:<\/p>\n\n\n\n<\/a>Ryc. 27 SAP Gateway Error Log \u2013 Frontend<\/figcaption><\/figure>\n\n\n\n\/n\/IWBEP\/ERROR_LOG<\/strong><\/h3>\n\n\n\nPodobnie, jak poprzednia aplikacja, \/n\/IWBEP\/ERROR_LOG umo\u017cliwia weryfikacj\u0119 log\u00f3w b\u0142\u0119d\u00f3w podczas przetwarzania \u017c\u0105da\u0144 oData. Jednak w tym przypadku ju\u017c po stronie Backendu. Pozwala r\u00f3wnie\u017c na analiz\u0119 b\u0142\u0119d\u00f3w zwi\u0105zanych z obiektem autoryzacyjnym RFC \u2013 S_RFCACL, o kt\u00f3rym wspomina\u0142em wcze\u015bniej:<\/p>\n\n\n\n<\/a>Ryc. 28 SAP Backend Error Log<\/figcaption><\/figure>\n\n\n\nST22<\/strong><\/h3>\n\n\n\nTransakcja s\u0142u\u017c\u0105c\u0105 do analizy b\u0142\u0119d\u00f3w ABAP. Umieszczam j\u0105 tutaj, poniewa\u017c cz\u0119sto co\u015b, co na pierwszy rzut oka wygl\u0105da na b\u0142\u0105d autoryzacyjny, wcale nie musi nim by\u0107 \ud83d\ude0a Przyk\u0142adowo \u2013 u\u017cytkownik otrzymuje komunikat o jakim\u015b b\u0142\u0119dzie, jednak jego tre\u015b\u0107 nie jest jednoznaczna, ale sugeruje brak jakiego\u015b dost\u0119pu. Okazuje si\u0119 jednak, \u017ce nie mamy \u017cadnych log\u00f3w b\u0142\u0119d\u00f3w, np. w transakcji SU53, wtedy warto zweryfikowa\u0107 logi w transakcji ST22, by upewni\u0107 si\u0119, czy nie jest to b\u0142\u0105d ABAB\/Developerski:<\/p>\n\n\n\n<\/a>Ryc. 29 ABAP Runtime Errors \u2013 ST22<\/figcaption><\/figure>\n\n\n\nNarz\u0119dzia\/Tryb Developera w przegl\u0105darce internetowej (Chrome, Firefox, Edge, Opera itp.)<\/strong><\/h3>\n\n\n\nWiele rzeczy w SAP FIORI dzieje si\u0119 na poziomie przegl\u0105darki, wi\u0119c za pomoc\u0105 wbudowanych narz\u0119dzi developerskich i ich konsol jeste\u015bmy w stanie namierzy\u0107 miejsce potencjalnego problemu \u2013 zweryfikowa\u0107, jakie \u017c\u0105danie by\u0142o wywo\u0142ywane, przez jaki serwis\/us\u0142ug\u0119, jaki b\u0142\u0105d to powoduje. Poni\u017cej zrzut ekranu z przyk\u0142adowego b\u0142\u0119du oraz informacje, jakie jeste\u015bmy w stanie odczyta\u0107 z narz\u0119dzia developerskiego:<\/p>\n\n\n\n<\/a>Ryc. 30 DevTools w przegl\u0105darce Google Chrome \u2013 zaznaczony fragment wskazuje na problem z konkretnym serwisem oData<\/figcaption><\/figure>\n\n\n\nDodatkowe przydatne narz\u0119dzia<\/strong><\/h3>\n\n\n\n\n- \/UI5\/APP_INDEX_CALCULATE<\/strong> \u2013 transakcja s\u0142u\u017cy do generowania lub odtwarzania indeksu aplikacji SAPUI5, co jest kluczowe po wdro\u017ceniu nowych aplikacji Fiori, aktualizacjach systemu, czy zmianach w konfiguracji aplikacji. U\u017cycie tej transakcji jest cz\u0119sto zalecane w przypadku problem\u00f3w z wy\u015bwietlaniem aplikacji Fiori, takich jak brakuj\u0105ce aplikacje lub problemy z dost\u0119pno\u015bci\u0105 \u2013 szczeg\u00f3lnie, gdy dokonali\u015bmy w nich jakich\u015b zmian.<\/li>\n\n\n\n
- \/n\/IWFND\/CACHE_CLEANUP<\/strong> \u2013 w przypadku problem\u00f3w z us\u0142ugami oData lub aplikacjami Fiori, takich jak nieprawid\u0142owe dzia\u0142anie aplikacji, brakuj\u0105ce lub nieaktualne dane, u\u017cycie tej transakcji mo\u017ce pom\u00f3c w przywr\u00f3ceniu poprawnego dzia\u0142ania przez wyczyszczenie cache, co zmusi system do ponownego za\u0142adowania aktualnych danych z backendu.<\/li>\n\n\n\n
- SM20 (Security Audit Log)<\/strong> \u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w u\u017cytkownika np. u\u017cytych przez niego transakcji.<\/li>\n\n\n\n
- SLG1 <\/strong>\u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w systemowych wywo\u0142anych przez u\u017cytkownika np. w konkretnej transakcji lub programie.<\/li>\n\n\n\n
- Http Trace tools<\/strong> \u2013 r\u00f3\u017cne narz\u0119dzia s\u0142u\u017c\u0105ce do monitorowania \u017c\u0105da\u0144 Http czy oData w kontek\u015bcie aplikacji SAP FIORI \u2013 mo\u017cna przejrze\u0107 szczeg\u00f3\u0142owe informacje o ka\u017cdym \u017c\u0105daniu, takie jak metoda (GET, POST, PUT, DELETE), nag\u0142\u00f3wki, body, status odpowiedzi, czas odpowiedzi i inne.<\/li>\n<\/ul>\n\n\n\n
Inne b\u0142\u0119dy<\/strong><\/h2>\n\n\n\n\n- Niepoprawnie nadany alias systemu lub jego brak na poziomie tworzenia\/konfiguracji nowej aplikacji FIORI, a dok\u0142adniej serwis\u00f3w, kt\u00f3re j\u0105 obs\u0142uguj\u0105. Skutkuje to brakiem widoczno\u015bci aplikacji w \u015brodowisku FIORI, po wi\u0119cej informacji i przyk\u0142ad\u00f3w odsy\u0142am tutaj: SAP Community – No System Alias found for Service ” and user ”<\/strong><\/a> oraz
Dla przypomnienia, weryfikacji, czy u\u017cytkownik posiada ju\u017c odpowiedni\u0105 role, kt\u00f3ra teoretycznie powinna mu dawa\u0107 dost\u0119p do danej aplikacji FIORI, mo\u017cemy dokona\u0107 na dwa sposoby:<\/p>\n\n\n\n
- \n
- W przypadku standardowych aplikacji SAP FIORI otwieramy og\u00f3lnodost\u0119pn\u0105 Bibliotek\u0119 aplikacji SAP FIORI<\/a>, wybieramy kategori\u0119 All apps, nast\u0119pnie odpowiedni\u0105 wersj\u0119 systemu SAP i w zak\u0142adce Configuration w tabeli Business Role(s) mamy list\u0119 r\u00f3l, kt\u00f3re umo\u017cliwiaj\u0105 dost\u0119p do wybranej aplikacji. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n<\/a>
Ryc. 2 SAP Fiori Apps Reference Library \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\n - \n
- W przypadku standardowych oraz niestandardowych (custom) aplikacji SAP FIORI otwieramy w SAP GUI transakcj\u0119 \/n\/UI2\/FLPCM_CUST,<\/strong> przechodzimy do zak\u0142adki Tiles\/Target Mappings i wpisujemy dok\u0142adn\u0105 nazw\u0119 naszego kafelka FIORI (wielko\u015b\u0107 liter i spacje maj\u0105 znaczenie!), zaznaczamy go i wybieramy opcj\u0119 Show usage in Roles<\/strong>. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n<\/a>
Ryc. 3 Launchpad Content Manager \u2013 lista r\u00f3l z dost\u0119pem do aplikacji FIORI<\/figcaption><\/figure>\n\n\n\n Warto r\u00f3wnie\u017c zwr\u00f3ci\u0107 uwag\u0119, czy wyszukana przez nas aplikacja FIORI znajduje si\u0119 w katalogu FIORI w formie (Tile+TM)<\/strong> i czy ten katalog jest przypisany do roli FIORI, kt\u00f3r\u0105 u\u017cytkownik posiada lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\n
By to zweryfikowa\u0107, nale\u017cy dokona\u0107 tych samych krok\u00f3w, co w poprzednich punktach, i na ko\u0144cu wybra\u0107 opcj\u0119 Show usage in Roles<\/strong>, sprawdzi\u0107 kolumn\u0119 Reference Details<\/strong> i w transakcji PFCG upewni\u0107 si\u0119, czy katalog jest przypisany do roli, kt\u00f3r\u0105 u\u017cytkownik ma lub kt\u00f3r\u0105 chcemy mu przypisa\u0107.<\/p>\n\n\n\n
<\/a>Ryc. 4 Launchpad Content Manager \u2013 lista katalog\u00f3w zawieraj\u0105cych Tile + TM<\/figcaption><\/figure>\n\n\n\n Je\u017celi dana aplikacja nie jest dost\u0119pna w \u017cadnym katalogu z informacj\u0105, \u017ce sk\u0142ada si\u0119 ona z (Tile + TM), <\/strong>wtedy brakuj\u0105cy element Tile lub TM nale\u017cy doda\u0107 do odpowiedniego katalogu FIORI. Jest to jednak kwestia na zupe\u0142nie osobny artyku\u0142. <\/p>\n\n\n\n
Na ten moment pozostawiam link do dokumentacji SAP, kt\u00f3ra opisuje podobne przypadki: SAP Fiori Launchpad Content Manager \u2013 Adding and Removing Catalog Content<\/a>.<\/p>\n\n\n\n
B\u0142\u0119dy podczas otwierania kafelka FIORI<\/strong><\/h2>\n\n\n\n
Scenariusz 1.<\/strong><\/h3>\n\n\n\n
W SAP Launchpad znale\u017ali\u015bmy interesuj\u0105c\u0105 nas aplikacj\u0119 FIORI. Chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/404 \u2013 przyk\u0142ad takiego b\u0142\u0119du poni\u017cej:<\/p>\n\n\n\n
<\/a>Ryc. 5 B\u0142\u0105d 403 \u2013 aplikacja nie wczytuje si\u0119 \u2013 brak dost\u0119pu do zawarto\u015bci<\/figcaption><\/figure>\n\n\n\n Oznacza to, \u017ce jaki\u015b serwis oData (us\u0142uga, kt\u00f3ra komunikuje si\u0119 pomi\u0119dzy frontendem i backendem) nie dzia\u0142a poprawnie, nie jest aktywny lub w og\u00f3le nie zosta\u0142 zaimplementowany w systemie.<\/p>\n\n\n\n
By to przeanalizowa\u0107 i naprawi\u0107 nale\u017cy:
Krok 1.<\/strong> Uruchomi\u0107 transakcj\u0119 \/n\/UI2\/FLPCM_CUST<\/strong><\/p>\n\n\n\nKrok 2.<\/strong> Wyszuka\u0107 w zak\u0142adce Tiles\/Target Mappings<\/strong> interesuj\u0105c\u0105 nas aplikacj\u0119, zaznaczy\u0107 j\u0105 i wybra\u0107 opcj\u0119 Services -> Check and Show Services.<\/strong> Sprawdzi\u0107 zak\u0142adki oData V2 Services oraz oData V4 Services.<\/strong> Poni\u017cej zrzuty ekran\u00f3w z transakcji:<\/p>\n\n\n\n
<\/a>Ryc. 6 Launchpad Content Manager \u2013 Check and Show Services<\/figcaption><\/figure>\n\n\n\n <\/a>Ryc. 7 Launchpad Content Manager \u2013 lista serwis\u00f3w aplikacji<\/figcaption><\/figure>\n\n\n\n Je\u017celi w tych zak\u0142adkach kt\u00f3rykolwiek z serwis\u00f3w oData posiada czerwony status (jest nieaktywny) \u2013 nale\u017cy: <\/p>\n\n\n\n
- \n
- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>. W kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData, zaznaczy\u0107 go i w lewym dolnym rogu w oknie ICF Services<\/strong>, aktywowa\u0107 go za pomoc\u0105 opcji ICF Node -> Activate<\/strong>:<\/li>\n<\/ul>\n\n\n\n<\/a>
Ryc. 8 Activate and Maintain Services \u2013 aktywacja serwisu oData<\/figcaption><\/figure>\n\n\n\n Je\u017celi status serwisu si\u0119 nie zmieni\u0142 i otrzymamy komunikat systemowy z informacj\u0105, \u017ce nie mo\u017cemy aktywowa\u0107 serwisu, nale\u017cy wtedy wybra\u0107 opcj\u0119 ICF Node \u2013> Configure SICF<\/strong>. Zostaniemy przekierowani do transakcji SICF<\/strong> \u2013 bezpo\u015brednio do drzewka obiekt\u00f3w z naszym serwisem. Je\u017celi jest on dezaktywowany (wyszarzony), nale\u017cy klikn\u0105\u0107 na niego prawym przyciskiem myszy i wybra\u0107 opcj\u0119 Activate Service<\/strong> i w nast\u0119pnym oknie zatwierdzi\u0107 to, wybieraj\u0105c drug\u0105 opcj\u0119<\/strong> Yes<\/strong>, jak na poni\u017cszych zrzutach ekranu:<\/p>\n\n\n\n
<\/a>Ryc. 9 Activate and Maintain Services \u2013 przej\u015bcie do konfiguracji SICF<\/figcaption><\/figure>\n\n\n\n <\/a>Ryc. 10 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\n Gdy wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakcji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\n
- \n
- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>, w kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData. Je\u017celi jednak nie mo\u017cemy go wyszuka\u0107, oznacza to, \u017ce nie zosta\u0142 on zaimplementowany w naszym systemie.Jak tego dokona\u0107? Tutaj odsy\u0142am do poni\u017cszych artyku\u0142\u00f3w: \n
- \n
- dla oData V2: SAP Note 2525224 \u2013 Missing OData Service when Attempting to Add Service in \/IWFND\/MAINT_SERVICES<\/a> i Activate OData Services for Sana SAP Fiori Apps<\/a><\/li>\n\n\n\n
- dla oData V4: Publish\/Activate an oData V4 Service Group in SAP<\/a> i OData V4 Service Catalog<\/a><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n
Gdy serwisy zostan\u0105 zaimplementowane, aktywowane i wr\u00f3cimy do naszego serwisu w transakcji \/n\/IWFND\/MAINT_SERVICE,<\/strong> b\u0119dzie on ju\u017c aktywny. Jego status na \u201ezielony\u201d zmieni si\u0119 r\u00f3wnie\u017c w zak\u0142adkach oData w transakacji \/n\/UI2\/FLPCM_CUST<\/strong>, o kt\u00f3rej wspomnia\u0142em na pocz\u0105tku Kroku 2.<\/p>\n\n\n\n
Krok 3.<\/strong> Przetestowanie dzia\u0142ania aplikacji w SAP FIORI Launchpad, najlepiej po od\u015bwie\u017ceniu strony z ewentualnym wyczyszczeniu ciasteczek\/cache przegl\u0105darki lub ponownym zalogowaniu si\u0119 do SAP FIORI.<\/p>\n\n\n\n
Scenariusz 2.<\/strong><\/h3>\n\n\n\n
W SAP Launchpad znale\u017ali\u015bmy interesuj\u0105ca nas aplikacj\u0119 FIORI, chcemy j\u0105 otworzy\u0107, jednak trwa to bardzo d\u0142ugo i finalnie zamiast okna aplikacji otrzymujemy b\u0142\u0105d przegl\u0105darki 403\/500 \u2013 Request Failed, przyk\u0142ad:<\/p>\n\n\n\n
<\/a>Ryc. 11 B\u0142\u0105d \u2013 problem z za\u0142adowaniem komponentu UI5<\/figcaption><\/figure>\n\n\n\n Nale\u017cy post\u0119powa\u0107 analogicznie jak w Scenariuszu 1, z t\u0105 r\u00f3\u017cnic\u0105, \u017ce w Kroku 2, sprawdzamy zak\u0142adk\u0119 ICF Services<\/strong>. Je\u017celi jakikolwiek serwis ICF jest nieaktywny, nale\u017cy go zaznaczy\u0107 i wybra\u0107 opcj\u0119 Define Services<\/strong>, a potem aktywowa\u0107 serwis ICF analogicznie, jak w Scenariuszu 1 \u2013 Krok 2 w momencie, gdy system przekierowa\u0142 nas do transakcji SICF:<\/p>\n\n\n\n
<\/a>Ryc. 12 Launchpad Content Manager \u2013 nieaktywny serwis ICF<\/figcaption><\/figure>\n\n\n\n <\/a>Ryc. 13 Define Services \u2013 aktywacja serwisu ICF<\/figcaption><\/figure>\n\n\n\n B\u0142\u0105d 403\/500 \u2013 Request Failed lub Component failed mo\u017ce mie\u0107 r\u00f3wnie\u017c pod\u0142o\u017ce bezpo\u015brednio autoryzacyjne w systemie SAP S\/4 HANA. U\u017cytkownik mo\u017ce nie posiada\u0107 odpowiednich dost\u0119p\u00f3w do obiektu autoryzacyjnego S_RFCACL<\/strong>, co diagnozujemy za pomoc\u0105 transakcji SU53, STAUTHTRACE lub App Support (w FIORI). O tych narz\u0119dziach wspomn\u0119 jeszcze w dalszej cz\u0119\u015bci artyku\u0142u.<\/p>\n\n\n\n
Scenariusz 3.<\/strong><\/h3>\n\n\n\n
Kroki wykonane w Scenariuszach 1. oraz 2. nie pomog\u0142y, a dodatkowo otrzymujemy poni\u017cszy komunikat:<\/p>\n\n\n\n
<\/a>Ryc. 14 B\u0142\u0105d \u2013 problem z za\u0142adowaniem zawarto\u015bci \u2013 komponentu UI5<\/figcaption><\/figure>\n\n\n\n Oznacza to, \u017ce aplikacja nadal nie mo\u017ce odnale\u017a\u0107 jakiego\u015b serwisu oData, a co za tym idzie \u2013 r\u00f3wnie\u017c serwisu ICF. By to zweryfikowa\u0107, nale\u017cy wykona\u0107 Krok 1 oraz Krok 2 ze Scenariusza 1 i sprawdzi\u0107, czy ilo\u015b\u0107 serwis\u00f3w oData V2 i V4 zgadza si\u0119 z dokumentacj\u0105 dla tej aplikacji w Bibliotece FIORI<\/a>. Je\u017celi jakiego\u015b serwisu brakuje, nale\u017cy go doda\u0107 analogicznie jak w Scenariuszu 1, Krok 2(b).<\/p>\n\n\n\n
<\/a>Ryc. 15 SAP Fiori Apps Reference \u2013 informacje o u\u017cywanych przez aplikacj\u0119 serwisach ICF i oData<\/figcaption><\/figure>\n\n\n\n <\/a><\/figure>\n\n\n\nB\u0142\u0119dy autoryzacyjne w widokach CDS<\/strong><\/h2>\n\n\n\n
Widoki CDS (Core Data Services)<\/strong> w SAP pozwalaj\u0105 na tworzenie zaawansowanych, wydajnych i z\u0142o\u017conych modeli danych oraz logiki aplikacyjnej na poziomie bazy danych. Widoki tego typu mo\u017cemy otwiera\u0107 poprzez SAP FIORI. Jednak dost\u0119p do wspomnianych modeli danych (Virtual Data Model) w widokach CDS jest zawsze kontrolowany poprzez kombinacj\u0119 poni\u017cszych autoryzacji:<\/p>\n\n\n\n
- \n
- klasycznego sprawdzania obiekt\u00f3w autoryzacyjnych \u2013 przez authorization check w kodzie ABAP. W tym przypadku s\u0105 to obiekty (S_TCODE, S_START, S_SERVICE, SDDLVIEW itp.), kt\u00f3re dziej\u0105 si\u0119 podczas uruchamiania aplikacji;<\/li>\n\n\n\n
- weryfikacji autoryzacji u\u017cytkownika na poziomie \u017ar\u00f3d\u0142a danych widoku CDS, odbywaj\u0105cej si\u0119 dynamicznie w czasie korzystania z widoku, gdy pobiera on kolejne dane. Uprawnienia w kodzie widoku CDS s\u0105 na bie\u017c\u0105co por\u00f3wnywane z autoryzacjami u\u017cytkownika, kt\u00f3re posiada w PFCG.<\/li>\n<\/ul>\n\n\n\n
Poni\u017cej schemat z por\u00f3wnuj\u0105cy standardowe podej\u015bcie do weryfikowania autoryzacji dla aplikacji opartych na ABAP<\/strong>, oraz podej\u015bcie DCL<\/strong> dla widok\u00f3w CDS:<\/p>\n\n\n\n
<\/a>Ryc. 16 Por\u00f3wnanie standardowego podej\u015bcia ABAP z podej\u015bciem DCL dla widok\u00f3w CDS (schemat zainspirowany z webinaru SAP Fiori Security \u2013 Authorization Debugging<\/a>)<\/figcaption><\/figure>\n\n\n\n Podej\u015bcie DCL (Data Control Language)<\/strong> definiuje, jakie dane u\u017cytkownik mo\u017ce zobaczy\u0107, zale\u017cnie od jego uprawnie\u0144. Stosuje si\u0119 g\u0142\u00f3wnie do ograniczania dost\u0119pu do danych na poziomie rekord\u00f3w (row-level security), a tak\u017ce do kolumn (column-level security) w modelach danych CDS.<\/p>\n\n\n\n
Raz zdefiniowane regu\u0142y autoryzacji s\u0105 automatycznie stosowane do wszystkich zapyta\u0144, kt\u00f3re korzystaj\u0105 z danego widoku CDS, zapewniaj\u0105c sp\u00f3jno\u015b\u0107 i redukuj\u0105c ryzyko b\u0142\u0119d\u00f3w. Umo\u017cliwia to dynamiczne i kontekstowe dostosowanie dost\u0119pu do danych na podstawie atrybut\u00f3w u\u017cytkownika, co jest trudniejsze do osi\u0105gni\u0119cia w klasycznym podej\u015bciu.<\/p>\n\n\n\n
Z racji na bardziej elastyczne oraz bardziej wydajne dzia\u0142anie, widoki CDS oraz podej\u015bcie DCL jest stosowane coraz cz\u0119\u015bciej r\u00f3wnie\u017c w standardowych transakcjach SAP. Jako przyk\u0142adem pos\u0142u\u017c\u0119 si\u0119 tutaj aplikacj\u0105 Display Material (MM03).<\/p>\n\n\n\n
\u015aledzenie u\u017cytkownika i symulacja dost\u0119p\u00f3w do danych w CDS<\/strong><\/h3>\n\n\n\n
W transakcji STAUTHTRACE<\/strong> uruchomi\u0142em \u015bledzenie swojego u\u017cytkownika w celu weryfikacji, z jakich autoryzacji pr\u00f3buje skorzysta\u0107. Po uruchomieniu aplikacji Display Material (MM03) otrzyma\u0142em nast\u0119puj\u0105ce logi:<\/p>\n\n\n\n
<\/a>Ryc. 17 System Trace for Authorization Checks \u2013 logi z rezultatami poszczeg\u00f3lnych autoryzacji \u2013 r\u00f3wnie\u017c do widok\u00f3w CDS<\/figcaption><\/figure>\n\n\n\n Jak wida\u0107 w kolumnie CDS Entity pojawi\u0142a si\u0119 informacja o tym, \u017ce cz\u0119\u015b\u0107 danych, kt\u00f3re zosta\u0142y mi wy\u015bwietlone w aplikacji Display Material (MM03) pochodzi z widoku CDS i dost\u0119p do nich jest autoryzowany w\u0142a\u015bnie na poziomie widoku CDS.<\/p>\n\n\n\n
I tutaj istotna uwaga \u2013 tego typu informacji nie otrzymamy w SU53! Dlatego w celu dok\u0142adniejszej weryfikacji log\u00f3w\/b\u0142\u0119d\u00f3w autoryzacyjnych, warto korzysta\u0107 r\u00f3wnie\u017c z transakcji STAUTHTRACE. Ponadto, z poziomu log\u00f3w jestem w stanie bezpo\u015brednio przej\u015b\u0107 do aplikacji CDS Access Control,<\/strong> kt\u00f3ra umo\u017cliwi mi sprawdzenie, co dok\u0142adnie jest weryfikowane w tym widoku CDS w celu wy\u015bwietlania mi odpowiednich danych. Poni\u017cej przyk\u0142ad dla wcze\u015bniej wywo\u0142anego widoku:<\/p>\n\n\n\n
<\/a>Ryc. 18 CDS Access Control \u2013 skrypt bazodanowy dla widoku CDS z zapytaniem o autoryzacje<\/figcaption><\/figure>\n\n\n\n Jak wida\u0107, mamy fragment kodu, kt\u00f3ry na poziomie widoku CDS por\u00f3wnuje wprowadzone tutaj warto\u015bci obiekt\u00f3w autoryzacyjnych z obiektami autoryzacyjnymi posiadanymi przez u\u017cytkownika aktualnie przegl\u0105daj\u0105cego ten widok CDS i na tej podstawie decyduje, czy ten konkretny zestaw danych mo\u017ce zosta\u0107 wy\u015bwietlony b\u0105d\u017a nie.
W powy\u017cszym przyk\u0142adzie zestaw danych dotyczy dost\u0119pu do grup produktowych (obiekt M_MATE_MAT, pole: BEGRU) i widok CDS sprawdza, jakie dost\u0119py do obiektu posiada u\u017cytkownik i wy\u015bwietli dane tylko dla tych grup produktowych (BEGRU), w kt\u00f3rych u\u017cytkownik posiada w polu aktywno\u015bci warto\u015bci 03 (Display) i F4 (Display in Value Help).<\/p>\n\n\n\nW przeciwie\u0144stwie do klasycznego podej\u015bcia system nie sprawdza w skrypcie ABAP ka\u017cdej warto\u015bci pola aktywno\u015bci (ACTVT) u\u017cytkownika dla danych grup produktowych z pola BEGRU, tylko \u201epobiera\u201d jego dost\u0119py (aktywno\u015bci) do warto\u015bci z pola BEGRU i na poziome skryptu bazy danych sprawdza, czy w\u015br\u00f3d tych warto\u015bci s\u0105 te wskazane w zapytaniu widoku CDS. Je\u017celi s\u0105 \u2013 wy\u015bwietla te dane. Bardzo pomocnym narz\u0119dziem umo\u017cliwiaj\u0105cych weryfikacj\u0119 do jakich danych w widoku ma dost\u0119p konkretny u\u017cytkownik, jest CDS Access Control Runtime Simulator (SACM<\/strong>):<\/p>\n\n\n\n
<\/a>Ryc. 19 Access Control Management \u2013 ekran wyboru narz\u0119dzia<\/figcaption><\/figure>\n\n\n\n <\/a>Ryc. 20 CDS Access Control Runtime Simulator \u2013 ekran wyboru symulacji dost\u0119p\u00f3w CDS dla wybranego u\u017cytkownika<\/figcaption><\/figure>\n\n\n\n <\/a>Ryc. 21 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z pe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\n <\/a>Ryc. 22 ACM Runtime Simulator \u2013 rezultaty symulacji dost\u0119p\u00f3w do widoku CDS u\u017cytkownika z niepe\u0142nym dost\u0119pem<\/figcaption><\/figure>\n\n\n\n Na Ryc. 20 wida\u0107, \u017ce m\u00f3j u\u017cytkownik ma w tym widoku dost\u0119p do wszystkich danych. Jednak na Ryc. 21 u\u017cytkownik z innymi rolami posiada ju\u017c tylko dost\u0119p do jednej grupy produktowej oznaczonej jako XYZ. I tylko dane dla tej grupy produktowej zostan\u0105 mu wy\u015bwietlone w aplikacji korzystaj\u0105cej z tego widoku CDS. <\/p>\n\n\n\n
Jest to bardzo przydatne w przypadku, gdy u\u017cytkownik nie widzi cz\u0119\u015bci danych, a nie otrzymuje \u017cadnego b\u0142\u0119du autoryzacyjnego, nie widzi go r\u00f3wnie\u017c w SU53 \u2013 wtedy kombinacja narz\u0119dzi STAUTHTRACE + SACM znacznie u\u0142atwia nam analiz\u0119 problemu.<\/p>\n\n\n\n
Narz\u0119dzia do analizy b\u0142\u0119d\u00f3w + najcz\u0119\u015bciej wykrywane b\u0142\u0119dy<\/strong><\/h2>\n\n\n\n
SU53<\/strong><\/h3>\n\n\n\n
SU53 to narz\u0119dzie, kt\u00f3rego chyba nikomu nie trzeba przedstawia\u0107. Jest to absolutna klasyka analizy problem\u00f3w z autoryzacjami zar\u00f3wno dla system\u00f3w ABAP jak i FIORI \ud83d\ude0a<\/p>\n\n\n\n
W kontek\u015bcie dzia\u0142ania aplikacji FIORI najcz\u0119\u015bciej spotykanym problemem jest brak uprawnie\u0144 u\u017cytkownika do odpowiednich serwis\u00f3w (np. ODATA) zdefiniowanych w obiekcie autoryzacyjnym S_SERVICE. B\u0119dzie to powodowa\u0142o problemy z otwieraniem si\u0119 aplikacji lub nawet brak dost\u0119pu do cz\u0119\u015bci danych czy dost\u0119pnych opcji.<\/p>\n\n\n\n
Poni\u017cej przyk\u0142ad takich log\u00f3w w transakcji SU53:<\/p>\n\n\n\n
<\/a>Ryc. 23 Przyk\u0142adowe b\u0142\u0119dy zwi\u0105zane z brakiem dost\u0119pu do serwis\u00f3w oData w obiekcie autoryzacyjnym S_SERVICE<\/figcaption><\/figure>\n\n\n\n By go naprawi\u0107, nale\u017cy poszuka\u0107 roli zawieraj\u0105cej ju\u017c obiekt z t\u0105 warto\u015bci\u0105 np. poprzez transakcj\u0119 SUIM lub doda\u0107 t\u0119 warto\u015b\u0107 do obiektu S_SERVICE w istniej\u0105cej ju\u017c roli, korzystaj\u0105c z transakcji PFCG:<\/p>\n\n\n\n
<\/a>Ryc. 24 Transakcja PFCG \u2013 dodawanie serwis\u00f3w oData jako warto\u015bci do obiektu autoryzacyjnego S_SERVICE w roli<\/figcaption><\/figure>\n\n\n\n Wad\u0105 SU53 jest brak log\u00f3w do wszystkich rodzaj\u00f3w b\u0142\u0119d\u00f3w autoryzacyjnych, np. nie otrzymamy w niej log\u00f3w do b\u0142\u0119d\u00f3w zwi\u0105zanych z autoryzacjami widok\u00f3w CDS, kt\u00f3re zosta\u0142y zdefiniowane na poziomie kodu widoku CDS.
Tip<\/strong>! Gdy tylko dowiemy si\u0119, \u017ce wyst\u0105pi\u0142 jaki\u015b problem z aplikacj\u0105 FIORI i sprawdzimy logi w SU53, warto jest od razu je zapisa\u0107, poniewa\u017c s\u0105 one widoczne tylko przez jaki\u015b czas. Unikniemy w ten spos\u00f3b sytuacji, w kt\u00f3rej b\u0119dziemy musieli prosi\u0107 u\u017cytkownika o ponowne \u201ewygenerowanie\u201d b\u0142\u0119du \ud83d\ude0a Ewentualnie mo\u017cemy poprosi\u0107 u\u017cytkownika o pobranie i przes\u0142anie nam log\u00f3w.<\/p>\n\n\n\nApp Support<\/strong><\/h3>\n\n\n\n
W uproszczeniu odpowiednik SU53 lecz dost\u0119pny bezpo\u015brednio z poziomu SAP FIORI Launchpad. Aplikacja ta nie jest jednak domy\u015blnie dost\u0119pna \u2013 trzeba j\u0105 aktywowa\u0107 oraz katalog FIORI doda\u0107 do wybranych przez nas r\u00f3l w SAP. Aplikacja prezentuje si\u0119 jak poni\u017cej:<\/p>\n\n\n\n
<\/a>Ryc. 25 Ekran g\u0142\u00f3wny aplikacji App Support [\u0179r\u00f3d\u0142o: SAP Fiori for SAP S\/4HANA \u2013 10 health checks for the SAP Fiori launchpad<\/strong><\/a>]<\/figcaption><\/figure>\n\n\n\n Dokumentacja SAP w jaki spos\u00f3b aktywowa\u0107 aplikacj\u0119 dla u\u017cytkownik\u00f3w: Setting Up App Support<\/a>.<\/p>\n\n\n\n
STAUTHTRACE<\/strong><\/h3>\n\n\n\n
Stauthtrace umo\u017cliwia \u015bledzenie, kt\u00f3re obiekty autoryzacyjne s\u0105 sprawdzane podczas wykonywania okre\u015blonych operacji przez u\u017cytkownika. Dzi\u0119ki temu mo\u017cna zidentyfikowa\u0107, jakie autoryzacje s\u0105 wymagane, a kt\u00f3re s\u0105 przyczyn\u0105 problem\u00f3w. Mo\u017cemy wybra\u0107 zakres u\u017cytkownik\u00f3w, dla kt\u00f3rych chcemy w\u0142\u0105czy\u0107 trace oraz specyficzne operacje, jakie chcemy \u015bledzi\u0107:<\/p>\n\n\n\n
<\/a>Ryc. 26 System Trace for Authorization Checks \u2013 STAUTHTRACE<\/figcaption><\/figure>\n\n\n\n Narz\u0119dzie wska\u017ce nam r\u00f3wnie\u017c b\u0142\u0119dy zwi\u0105zane z uprawnieniami do widok\u00f3w CDS.<\/p>\n\n\n\n
\/n\/IWFND\/ERROR_LOG<\/strong><\/h3>\n\n\n\n
Narz\u0119dzie diagnostyczne, kt\u00f3re pozwala weryfikowa\u0107 logi b\u0142\u0119d\u00f3w podczas przetwarzania request\u00f3w serwis\u00f3w oData \u2013 b\u0142\u0119dy na poziomie komunikacji mi\u0119dzy SAP Gateway a systemem backendowym, r\u00f3wnie\u017c zwi\u0105zane z przetwarzaniem danych:<\/p>\n\n\n\n
<\/a>Ryc. 27 SAP Gateway Error Log \u2013 Frontend<\/figcaption><\/figure>\n\n\n\n \/n\/IWBEP\/ERROR_LOG<\/strong><\/h3>\n\n\n\n
Podobnie, jak poprzednia aplikacja, \/n\/IWBEP\/ERROR_LOG umo\u017cliwia weryfikacj\u0119 log\u00f3w b\u0142\u0119d\u00f3w podczas przetwarzania \u017c\u0105da\u0144 oData. Jednak w tym przypadku ju\u017c po stronie Backendu. Pozwala r\u00f3wnie\u017c na analiz\u0119 b\u0142\u0119d\u00f3w zwi\u0105zanych z obiektem autoryzacyjnym RFC \u2013 S_RFCACL, o kt\u00f3rym wspomina\u0142em wcze\u015bniej:<\/p>\n\n\n\n
<\/a>Ryc. 28 SAP Backend Error Log<\/figcaption><\/figure>\n\n\n\n ST22<\/strong><\/h3>\n\n\n\n
Transakcja s\u0142u\u017c\u0105c\u0105 do analizy b\u0142\u0119d\u00f3w ABAP. Umieszczam j\u0105 tutaj, poniewa\u017c cz\u0119sto co\u015b, co na pierwszy rzut oka wygl\u0105da na b\u0142\u0105d autoryzacyjny, wcale nie musi nim by\u0107 \ud83d\ude0a Przyk\u0142adowo \u2013 u\u017cytkownik otrzymuje komunikat o jakim\u015b b\u0142\u0119dzie, jednak jego tre\u015b\u0107 nie jest jednoznaczna, ale sugeruje brak jakiego\u015b dost\u0119pu. Okazuje si\u0119 jednak, \u017ce nie mamy \u017cadnych log\u00f3w b\u0142\u0119d\u00f3w, np. w transakcji SU53, wtedy warto zweryfikowa\u0107 logi w transakcji ST22, by upewni\u0107 si\u0119, czy nie jest to b\u0142\u0105d ABAB\/Developerski:<\/p>\n\n\n\n
<\/a>Ryc. 29 ABAP Runtime Errors \u2013 ST22<\/figcaption><\/figure>\n\n\n\n Narz\u0119dzia\/Tryb Developera w przegl\u0105darce internetowej (Chrome, Firefox, Edge, Opera itp.)<\/strong><\/h3>\n\n\n\n
Wiele rzeczy w SAP FIORI dzieje si\u0119 na poziomie przegl\u0105darki, wi\u0119c za pomoc\u0105 wbudowanych narz\u0119dzi developerskich i ich konsol jeste\u015bmy w stanie namierzy\u0107 miejsce potencjalnego problemu \u2013 zweryfikowa\u0107, jakie \u017c\u0105danie by\u0142o wywo\u0142ywane, przez jaki serwis\/us\u0142ug\u0119, jaki b\u0142\u0105d to powoduje. Poni\u017cej zrzut ekranu z przyk\u0142adowego b\u0142\u0119du oraz informacje, jakie jeste\u015bmy w stanie odczyta\u0107 z narz\u0119dzia developerskiego:<\/p>\n\n\n\n
<\/a>Ryc. 30 DevTools w przegl\u0105darce Google Chrome \u2013 zaznaczony fragment wskazuje na problem z konkretnym serwisem oData<\/figcaption><\/figure>\n\n\n\n Dodatkowe przydatne narz\u0119dzia<\/strong><\/h3>\n\n\n\n
- \n
- \/UI5\/APP_INDEX_CALCULATE<\/strong> \u2013 transakcja s\u0142u\u017cy do generowania lub odtwarzania indeksu aplikacji SAPUI5, co jest kluczowe po wdro\u017ceniu nowych aplikacji Fiori, aktualizacjach systemu, czy zmianach w konfiguracji aplikacji. U\u017cycie tej transakcji jest cz\u0119sto zalecane w przypadku problem\u00f3w z wy\u015bwietlaniem aplikacji Fiori, takich jak brakuj\u0105ce aplikacje lub problemy z dost\u0119pno\u015bci\u0105 \u2013 szczeg\u00f3lnie, gdy dokonali\u015bmy w nich jakich\u015b zmian.<\/li>\n\n\n\n
- \/n\/IWFND\/CACHE_CLEANUP<\/strong> \u2013 w przypadku problem\u00f3w z us\u0142ugami oData lub aplikacjami Fiori, takich jak nieprawid\u0142owe dzia\u0142anie aplikacji, brakuj\u0105ce lub nieaktualne dane, u\u017cycie tej transakcji mo\u017ce pom\u00f3c w przywr\u00f3ceniu poprawnego dzia\u0142ania przez wyczyszczenie cache, co zmusi system do ponownego za\u0142adowania aktualnych danych z backendu.<\/li>\n\n\n\n
- SM20 (Security Audit Log)<\/strong> \u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w u\u017cytkownika np. u\u017cytych przez niego transakcji.<\/li>\n\n\n\n
- SLG1 <\/strong>\u2013 s\u0142u\u017cy do przegl\u0105dania log\u00f3w systemowych wywo\u0142anych przez u\u017cytkownika np. w konkretnej transakcji lub programie.<\/li>\n\n\n\n
- Http Trace tools<\/strong> \u2013 r\u00f3\u017cne narz\u0119dzia s\u0142u\u017c\u0105ce do monitorowania \u017c\u0105da\u0144 Http czy oData w kontek\u015bcie aplikacji SAP FIORI \u2013 mo\u017cna przejrze\u0107 szczeg\u00f3\u0142owe informacje o ka\u017cdym \u017c\u0105daniu, takie jak metoda (GET, POST, PUT, DELETE), nag\u0142\u00f3wki, body, status odpowiedzi, czas odpowiedzi i inne.<\/li>\n<\/ul>\n\n\n\n
Inne b\u0142\u0119dy<\/strong><\/h2>\n\n\n\n
- \n
- Niepoprawnie nadany alias systemu lub jego brak na poziomie tworzenia\/konfiguracji nowej aplikacji FIORI, a dok\u0142adniej serwis\u00f3w, kt\u00f3re j\u0105 obs\u0142uguj\u0105. Skutkuje to brakiem widoczno\u015bci aplikacji w \u015brodowisku FIORI, po wi\u0119cej informacji i przyk\u0142ad\u00f3w odsy\u0142am tutaj: SAP Community – No System Alias found for Service ” and user ”<\/strong><\/a> oraz
- \/n\/IWFND\/CACHE_CLEANUP<\/strong> \u2013 w przypadku problem\u00f3w z us\u0142ugami oData lub aplikacjami Fiori, takich jak nieprawid\u0142owe dzia\u0142anie aplikacji, brakuj\u0105ce lub nieaktualne dane, u\u017cycie tej transakcji mo\u017ce pom\u00f3c w przywr\u00f3ceniu poprawnego dzia\u0142ania przez wyczyszczenie cache, co zmusi system do ponownego za\u0142adowania aktualnych danych z backendu.<\/li>\n\n\n\n
- \/UI5\/APP_INDEX_CALCULATE<\/strong> \u2013 transakcja s\u0142u\u017cy do generowania lub odtwarzania indeksu aplikacji SAPUI5, co jest kluczowe po wdro\u017ceniu nowych aplikacji Fiori, aktualizacjach systemu, czy zmianach w konfiguracji aplikacji. U\u017cycie tej transakcji jest cz\u0119sto zalecane w przypadku problem\u00f3w z wy\u015bwietlaniem aplikacji Fiori, takich jak brakuj\u0105ce aplikacje lub problemy z dost\u0119pno\u015bci\u0105 \u2013 szczeg\u00f3lnie, gdy dokonali\u015bmy w nich jakich\u015b zmian.<\/li>\n\n\n\n
- dla oData V4: Publish\/Activate an oData V4 Service Group in SAP<\/a> i OData V4 Service Catalog<\/a><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n
- dla oData V2: SAP Note 2525224 \u2013 Missing OData Service when Attempting to Add Service in \/IWFND\/MAINT_SERVICES<\/a> i Activate OData Services for Sana SAP Fiori Apps<\/a><\/li>\n\n\n\n
- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>, w kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData. Je\u017celi jednak nie mo\u017cemy go wyszuka\u0107, oznacza to, \u017ce nie zosta\u0142 on zaimplementowany w naszym systemie.Jak tego dokona\u0107? Tutaj odsy\u0142am do poni\u017cszych artyku\u0142\u00f3w: \n
- przej\u015b\u0107 do transakcji \/n\/IWFND\/MAINT_SERVICE<\/strong>. W kolumnie External Service Name<\/strong> poszuka\u0107 naszego nieaktywnego serwisu oData, zaznaczy\u0107 go i w lewym dolnym rogu w oknie ICF Services<\/strong>, aktywowa\u0107 go za pomoc\u0105 opcji ICF Node -> Activate<\/strong>:<\/li>\n<\/ul>\n\n\n\n
- W przypadku standardowych oraz niestandardowych (custom) aplikacji SAP FIORI otwieramy w SAP GUI transakcj\u0119 \/n\/UI2\/FLPCM_CUST,<\/strong> przechodzimy do zak\u0142adki Tiles\/Target Mappings i wpisujemy dok\u0142adn\u0105 nazw\u0119 naszego kafelka FIORI (wielko\u015b\u0107 liter i spacje maj\u0105 znaczenie!), zaznaczamy go i wybieramy opcj\u0119 Show usage in Roles<\/strong>. Potem w transakcji SU01 lub PFCG weryfikujemy, czy u\u017cytkownik ma ju\u017c t\u0119 rol\u0119 przypisan\u0105.<\/li>\n<\/ul>\n\n\n\n