SAP GGB0/OB28权限对象差异导致授权失败

Question

在SAP权限管理中，GGB0与OB28权限对象常被误用导致授权失败。典型问题是：用户能通过SU01维护用户，却无法在PFCG中分配角色，系统提示“无权修改角色”（错误消息：TADIR-LOCKFLAG）。根源在于GGB0控制角色/配置文件的创建、更改和删除权限，而OB28仅控制特定客户下的跨客户端对象修改权限。若未正确赋予权限对象S_DEVELOP中的开发类访问或忽略GGB0的ACTVT字段值（如02、03、64），即使OB28已授权，仍会导致角色保存失败。常见于传输角色至生产环境后因客户端设置差异引发权限不足。需协同检查GGB0、OB28及S_DEVELOP权限配置，避免授权断层。

Answer 1

1. 问题背景与典型现象

在SAP权限管理中，权限对象的误用是导致授权失败的常见根源。尤其当用户具备SU01维护用户的权限，却无法通过PFCG分配角色时，系统提示“无权修改角色”（错误消息：TADIR-LOCKFLAG），这一现象往往令管理员困惑。

该问题的核心在于混淆了权限对象GGB0与OB28的作用范围。GGB0控制的是角色与配置文件的创建、更改和删除操作，而OB28仅用于控制跨客户端对象在特定客户下的修改权限，并不直接涉及角色本身的维护。

2. 权限对象功能解析

• GGB0：决定用户是否可以对角色（如Z_ROLE_001）执行ACTVT为02（更改）、03（显示）、64（删除）等操作。
• OB28：控制跨客户端自定义对象的修改权限，适用于SPRO路径下的配置变更，但不涵盖PFCG中的角色编辑。
• S_DEVELOP：若角色属于某一开发类（如$TMP或ZDEV），则必须赋予相应开发类访问权限，否则即使GGB0已授权也无法保存。

3. 常见错误配置场景

场景编号	配置缺失项	表现症状	影响模块
1	GGB0未赋ACTVT=02	PFCG无法更改角色	所有客户端
2	OB28未激活跨客户修改	传输后生产环境不可改	Client 000/001
3	S_DEVELOP缺少开发类授权	角色保存时报锁错误	变更与传输管理
4	GGB0与OB28权限分离	局部可操作，全局失败	权限一致性检查
5	角色位于$TMP类但无$TMP访问	TADIR-LOCKFLAG报错	开发对象管理
6	生产环境禁用跨客户修改	无法调整已导入角色	变更控制系统
7	未使用SEU进行开发类校验	隐藏性权限缺口	代码审计
8	早期版本迁移遗留设置	OB28被误认为主控权限	系统升级兼容性
9	多层角色继承结构复杂	子角色修改失败	权限优化
10	未启用SU24权限对象分析	难以定位缺失权限	安全诊断

4. 深度分析流程图

```mermaid
graph TD
    A[用户尝试在PFCG中修改角色] --> B{是否有GGB0权限?}
    B -- 否 --> C[提示:TADIR-LOCKFLAG 错误]
    B -- 是 --> D{ACTVT包含02/64吗?}
    D -- 否 --> C
    D -- 是 --> E{角色是否属于开发类?}
    E -- 否 --> F[检查OB28跨客户权限]
    E -- 是 --> G{S_DEVELOP有对应开发类授权吗?}
    G -- 否 --> H[保存失败,提示无权修改]
    G -- 是 --> I[检查传输路线与客户端设置]
    I --> J{目标系统允许跨客户修改吗?}
    J -- 否 --> K[需OB28授权或切换客户端]
    J -- 是 --> L[成功保存角色]

```
    

5. 解决方案与最佳实践

1. 确保GGB0权限对象中ACTVT字段包含值02（更改）、64（删除）以支持角色维护。
2. 验证OB28是否在目标客户端（如000或001）启用了跨客户修改权限，特别是在生产环境中。
3. 使用事务码SEU查看角色所属的开发类（Development Class），并为S_DEVELOP添加对应类的访问权限。
4. 在传输角色至生产系统前，确认目标系统的客户端策略与源系统一致。
5. 利用SU53进行实时权限检查，快速定位TADIR-LOCKFLAG错误来源。
6. 定期运行PFCG_TIME_DEPENDENCY或RSUSR_AUTH_CHECK进行批量权限一致性扫描。
7. 避免将角色置于$TMP开发类中用于生产用途，建议使用自定义命名空间（如ZDEV*）。
8. 启用SU24权限需求分析工具，识别PFCG调用链中隐含的权限依赖。
9. 建立权限模板角色，集成GGB0、OB28、S_DEVELOP等必要权限对象，减少人工配置失误。
10. 实施权限审批流程，在变更管理系统中记录每一次角色修改的授权依据。