SAP计划与合并系统将用户权限分为两大类型：一类是系统操作权限，用于管理用户具有哪些系统操作的权限；另一类是数据访问权限，用于定义用户可以读取和修改哪些数据模型中的哪些数据。系统分配使用任务配置文件和数据访问配置文件来管理这两类权限信息。

14.1.2.1 创建任务配置文件

系统使用任务配置文件来保存与管理系统操作的权限信息。进入管理员界面安全区域下方的任务配置文件项目，如图14-13所示。

图14-13 任务配置文件列表

在任务配置文件列表中列出了当前环境中的所有任务配置文件。其中，有3个任务配置文件是系统预定义的，管理员不能对这些文件进行修改，但可以复制这些文件并根据需要进行修改。

(1)SystemAdmin:系统管理员任务配置文件。在默认情况下，系统管理员拥有管理环境、系统权限以及在离线状态下使用环境等权限。

(2)PrimaryAdmin:主管理员任务配置文件。在默认情况下，主管理员拥有管理数据模型、维度、业务规则、数据锁定和工作状态、环境状态、贯穿钻取、模板、审计线索、Office报表发布与分发、备注、文档及权限管理等权限。

(3)SecondaryAdmin:副管理员任务配置文件。在默认情况下，副管理员拥有管理维度、编辑公共目录下的内容等权限。

管理员可以新建、编辑、删除或者复制任务配置文件。这里以新建任务配置文件为例，单击工具栏中的“新建”按钮，系统弹出新建任务配置文件对话框，如图14-14所示。

图14-14 添加任务配置文件对话框

在新建任务配置文件界面中，输入新建任务配置文件的标识和描述，并单击“下一步”按钮，进入分配任务界面，如图14-15所示。

图14-15 分配任务

分配任务界面的左边的任务列表中，列出了所有可用的系统操作，并进行了分类。管理员可以展开分类目录，选择需要的任务，并添加到“选择的任务”列表中。在本示例中，将所有任务都添加到示例的任务配置文件中，并单击“下一步”按钮，系统在“审核并添加”界面中显示本次操作的汇总信息，供管理员确认并完成当前操作。返回管理用户界面，新建的任务配置文件出现在列表中，如图14-16所示。

图14-16 更新后的任务配置文件列表

14.1.2.2 创建数据访问配置文件

系统使用数据访问配置文件来保存与管理数据访问的权限信息。进入管理员界面安全区域下方的数据访问配置文件项目，如图14-17所示。

图14-17 数据访问配置文件列表(www.daowen.com)

管理员可以在数据访问配置文件列表界面中单击“新建”按钮，创建新的数据访问文件。新建数据访问配置文件界面，如图14-18所示。

在新建数据访问文件界面中的上半部分，管理员需要输入数据访问配置文件的标识和描述。在界面的下半部分，有“成员访问”、“团队”和“用户”3个选项卡。其中，“成员访问”选项卡可用于定义数据访问配置文件的内容，而“团队”、“用户”用于定义数据访问配置文件与团队或用户的分配关系，这些将在下一节进行介绍。

图14-18 新建数据访问配置文件

在“成员访问”选项卡左边的模型列表中，列出了当前环境中的所有数据模型及对应的访问权限。访问权限有以下3种情况。

(1)无：说明当前模型的某些维度是需要进行权限检查的，但目前没有定义任何访问权限。

(2)受限访问：说明当前模型的某些维度是需要进行权限检查的，而且已经定义了访问权限。

(3)完全：说明当前模型中没有需要进行权限检查的维度，用户具有完全的访问权限。

在“成员访问”选项卡的右边窗口显示了模型列表中选择模型的明细访问权限。对模型的访问权限的明细定义是基于数据模型的安全维度进行的，如图14-18中的Consolidation模型的AUDITID和CONSOSCOPE等维度。数据模型的安全维度是在定义数据模型时指定的，参见图14-19中Consolidation模型的定义。

图14-19 示例数据模型的安全维度定义

在Consolidation模型的定义界面的维度列表中，用户可以在最后一列“安全的”中选择数据模型的维度是否应用于数据访问权限管理。这里选择的维度将出现在如图14-18所示的模型访问权限定义的明细窗口中，如本例中的AUDITID、CONSOSCOPE及ENTITY。

在如图14-18所示的模型访问权限定义的明细窗口中，管理员可以选择所有维度成员或者指定特定成员，并赋予相应的权限，可选的权限选项有被拒绝、只读和写权限。

如果管理员选择的是维度中的父节点成员，则相应的权限选项适用于该父节点下的所有子节点。如果当前维度有多个层次结构，所有层次结构下的所有子成员都适用父节点的权限选项。但是，如果单独对子成员指定了权限选项，则子成员的权限选项优先级高于父节点的权限选项。也就是说，系统采用子成员的权限选项。例如，管理员将访问权限授予一个拥有10个子节点的父节点，则用户同时拥有这10个子节点的访问权限。当用户对父节点具有只读权限或者写权限时，管理员可以对父节点下的一个子节点单独创建一条记录，并将其权限设置为“被拒绝”，或者单独创建一个数据访问配置文件，指定该子节点的权限为“被拒绝”。在这种情况下，用户对子节点是没有访问权限的。

管理员可以同时将多个数据访问配置文件分配给一个用户，或者用户可能从团队中继承了多个数据访问配置文件。当这些数据访问配置文件的定义有冲突时，系统采用限制最少的数据访问配置文件。

在本示例中，赋予AUDITID、CONSOSCOPE及ENTITY维度所有维度成员写权限，如图14-20所示。

图14-20 设置模型数据访问配置文件

完成设置后，模型列表中的访问列自动更新为“受限访问”。保存并关闭数据访问配置文件编辑窗口，返回数据访问数据文件列表，新建的数据访问配置文件出现在列表中，如图14-21所示。

图14-21 更新后的数据访问配置文件列表