如何在SAP Cloud for Customer自定义BO中建立访问控制

文章做者: Yi

已得到Yi的转载许可。

访问控制方式和使用注意事项

1. C4C中的访问控制有两种方式

• RelevantForAccessControl
• AccessControlContext

2. 要使用访问控制,必须知足下面条件

• 每个业务对象(BO),只能存在惟一一个访问控制.
• 与之关联的源节点必需是业务对象(BO)的根(Root)节点
• 对于RelevantForAccessControl,它所关联的节点也必须是根节点(Root).
• 对于RelevantForAccessControl,它所关联的节点,必须存在访问控制.查看方法能够进studio中的Repository Explorer,点击对象查看.在业务对象(BO)文档中的Supported Access Contexts中查看.
• 对于AccessControlContext.,它是经过UUID作访问控制的,因此定义的元素一定要与UUID相关.

如何建立BO咱们这里再也不论述, 这编文章重点讲解的是C4C中的控制的运行原理.

语法

1. RelevantForAccessControl

这个关键词的语法是

[RelevantForAccessControl] association toBusinessPartner to BusinessPartner;

2. AccessControlContext

这个关键词的语法是

[AccessControlContext (Employee)] element UID : UUID;
[AccessControlContext (Employee)] association ToEmployee to AP.FO.BusinessPartner.Global:Employee using UUID ;

建立访问控制

下面咱们以AccessControlContext为例,看看C4C的访问控制是如何动做的.

第一步,在咱们建立的BO中添加访问控制字段

[AccessControlContext(SalesOrganization)] association toOrganisationalUnit to OrganisationalUnit using UUID;

在BeforeSave中把上面访问控制字段的值添加上.
激活并生成屏幕

第二步..打开WCView屏幕文件,打开属性面板

更改AccessContextCode属性为9001-PDI:SalesOrganisation
这步很是重要,并且必须是访问控制字段相对应的访问控制代码
下面是我的收集的访问控制字段与访问控制代码表

若是这一步设置错误,访问控制不会生效,详细我会在后面说.

第三步.更改WCView下面包括的子屏幕的访问权限,例如(QC,OWL,TI)

打开其中的Access Controlled Business Object

把Unrestricted Access设置为False
这一步也是很是重要,若是不把Unrestricted Access设置为False的话,屏幕中的字段是不会继承WCView中设置的访问控制属性的.

第四步.更改OWL页面中的Query,让他绑定带有SAP_AccessControlList的Query

QueryByElements或者自定义的Query均可以.

作完以上部署后,系统就能使访问控制生效了,以后要作的事情就是把WCView分配给角色,而后设置访问控制权限.

访问控制的工做原理

当咱们在Business Object中建立完访问控制字段并激活后

系统会给该BO增长一个新的Dependent Node

AccessControlList中包含下面字段

上图来自SAP社区博客Implementing Access Control on Custom Business Objects。

其中最重要的两个字段是ACCESS_CONTEXT_CODE和OBJECT_UUID-CONTENT

• ACCESS_CONTEXT_CODE中储存了该BO数据的访问控制代码
• OBJECT_UUID-CONTENT中储存了该BO数据的访问控制内容

当咱们保存时, AccessControlContext中关联的值被填充上,而后系统会把关联中的UUID值保存到SAP_AccessControlList中的OBJECT_UUID-CONTENT, AccessControlContext括号内的对象会转化为CODE,存放到SAP_AccessControlList中的ACCESS_CONTEXT_CODE.

转化的CODE是根据上表中的值来转化的.因此上在第二部的WCView中的AccessContextCode值不能乱选.否则对不上的话,访问控制是不会生效的.

当咱们在系统中为用户分配访问权限时,系统会为每一个用户访问每一个业务对象生成一个表

只有当用户的访问权限中的数据与BO中的SAP_AccessControlList中的OBJECT_UUID-CONTENT匹配,用户才能看到该条数据.

Tips 1

若是咱们在系统中建立了多个访问控制字段,系统只会以最后一条访问控制字段

例如这里,有两个访问控制字段,一个是Employee(1010),另外一个是SalesOrganisation(9001),当出现多个访问控制字段时,系统只会以最后出现的访问控制字段为主.

Tips 2

别忘了设置其它相关的屏幕(QC,TI,QAF,OWL),否则这些屏幕就不受访问控制字段影响了,会看到系统中全部数据.

Tips 3

假设变动了访问控制类型后,那么以前设置的访问控制字段是不受新的访问控制类型影响的,解决方法是进去变动以前的数据中更改任何数据,而后保存.

Tips 4

PDI USER帐号是个神奇的帐号,他是不会受到ACL影响的惟一帐号,因此若是遇到ACL的一些问题,不防试试使用PDI USER去测试一下.

参考文章

• Access Control Management: How to analyze access control issues – Check User’s Authorization
• Implementing Access Control on Custom Business Objects
• Instance Based Access Control

要获取更多Jerry的原创技术文章，请关注公众号"汪子熙"或者扫描下面二维码: