SAP Fiori 配置路线图：从 SU01 到 Launchpad 的落地指南

简介这份《sapFiori配置手册》面向SAP Basis顾问、Fiori实施人员及需要独立完成系统配置的开发者聚焦SAP Fiori从零到Launchpad激活的完整配置流程。手册以实操为导向覆盖创建管理员与测试账号、分配S_ICF_ADM、S_RFC等权限及Z:CRM7_UI5角色后端系统连接设置与RFC目标、bgRFC监督目标配置NetWeaver Gateway激活、OData服务与SICF服务启用以及通过PFCG复制SAP_UI2_ADMIN_700、SAP_UI2_USER_700角色并分配至PABAP04等关键环节同时给出/UI2/PAGE_BUILDER_CONF、/UI2/INTEROP等服务的激活清单与OAuth处理要点。资源为1个PDF文件压缩包约1.55MB结构紧凑、便于随查随用。目前已有1112人学习适合希望快速掌握Fiori基础配置、减少试错成本的初中级实施人员参考。1. 从 SU01 到 Launchpad一份能落地的 SAP Fiori 前端配置路线图很多做 SAP 基础模块的朋友第一次拿到 Fiori 需求时第一反应是去查前端代码结果折腾半天发现 Launchpad 连磁贴都刷不出来。问题往往不在 UI5 层而在后端这套「账号—网关—OData—SICF—角色」的链路根本没打通。这份 sapFiori 配置手册整理稿核心价值就在于把这条链路按 Tcode 顺序拆成了可复现的步骤从 SU01 建号、SU01 补权限到 Gateway 的 Connection Settings、OData 服务激活、SICF 节点激活最后用 PFCG 把管理员和终端用户角色分开配。它适合两类人一是刚接手 Fiori 基线搭建的 BASIS 或 ABAP 工程师二是需要给业务方演示 Launchpad 但不想动生产配置的顾问。手册本身不厚但每一步都对应一个真实的系统开关漏一个就卡住。2. 账号与权限底座SU01 建号、补权限、挂角色2.1 为什么管理员和测试账号必须分开建手册里第一步就要求用 SU01 创建管理员账号和测试账号这不是形式主义。管理员账号 PABAP04 后续要挂 Z:CRM7_UI5 以及一堆 S_ 开头的权限对象权限范围极大测试账号如果复用同一个后面做 Launchpad 启动授权验证时你根本分不清是角色没配好还是管理员权限在兜底。常见做法是管理员账号只用于配置测试账号只用于验证终端用户体验两者权限集不重叠。创建时在 SU01 的「登录数据」页签填好初始密码和用户类型建议管理员选「对话用户」测试账号也选「对话用户」不要选系统用户否则后续没法用浏览器登录 Launchpad 做验证。地址、公司这些字段按实际填不影响功能。2.2 管理员额外权限对象的分配逻辑手册列出的 S_ICF_ADM、S_RFC、S_SERVICE、S_TCODE、S_CTS_ADMI、S_CTS_SADM、S_TRANSPRT、S_DEVELOP、S_ADT_RES值全部设为*。这些对象覆盖了 ICF 节点管理、RFC 调用、服务维护、传输管理、开发访问等动作。为什么全给*因为在基线搭建阶段你无法预判后续会激活哪些服务、调用哪些 RFC逐个收窄反而会制造大量「权限不足」的假故障。操作上在 SU01 的「参数」页签不填直接进「角色」页签把 Z:CRM7_UI5 挂上然后回到「权限」页签手动插入上述对象。注意手动插入的对象和角色带来的权限是叠加的不会互相覆盖。如果系统提示「权限对象不存在」先检查 SU01 的「权限数据」是否已生成必要时用 PFCG 对 Z:CRM7_UI5 做一次权限生成。 在 SU01 中手动添加权限对象的典型顺序通过菜单环境-权限数据-更改 1. 进入 SU01输入管理员账号 PABAP04 2. 切换到「角色」页签添加 Z:CRM7_UI5 3. 切换到「权限」页签点击「更改权限数据」 4. 在权限树中依次添加以下对象字段值填 * S_ICF_ADM S_RFC S_SERVICE S_TCODE S_CTS_ADMI S_CTS_SADM S_TRANSPRT S_DEVELOP S_ADT_RES 5. 保存并生成权限数据这段操作的关键参数是「字段值填*」它表示不限制具体服务名、RFC 目标或传输号。生成权限数据时如果报「权限对象未激活」去 SU22/SU24 检查该对象是否在事务码下被正确引用。测试账号这边不需要这些额外对象只挂后续的终端用户角色即可。3. 网关连接与 OData 激活Connection Settings 到服务发布3.1 Backend 到 Gateway 的 RFC 与别名配置手册第 2 章讲的是 Backend System 侧的 Connection Settings路径在 SAP NetWeaver - Gateway Service Enablement - Backend OData Channel - Connection Settings to SAP NetWeaver Gateway。这里要做三件事创建 Outbound Queues 的 RFC Destination、配置 Gateway Settings、可选地建 bgRFC Supervisor Destination。RFC Destination 用 SM59 创建连接类型选「3」ABAP 连接目标主机填 Gateway 所在系统的消息服务器或直接填应用服务器。如果 Backend 和 Gateway 在同一套系统里目标可以指向 LOCAL。bgRFC Supervisor Destination 手册标注「不一定要」我的经验是如果后续要用到 bgRFC 做异步队列就建纯同步 OData 调用可以先跳过避免多一个维护点。第 3 章是 Gateway 到 SAP System 的连接设置路径在 SAP NetWeaver - Gateway - OData Channel - Configuration - Connection Settings - SAP NetWeaver Gateway to SAP System。这里要配的是「Manage SAP System Aliases」别名 LOCAL 必须存在并指向当前系统。Define Trust 标注「不一定要」如果 Backend 和 Gateway 不同系统且需要 SSO才需要配信任关系同系统直接跳过。3.2 OData 服务激活与 OAuth scope 处理第 5 章是整份手册里最容易翻车的地方。路径在 SAP NetWeaver - Gateway - OData Channel - Administration - General Settings - Activate and Maintain Services。点「添加服务」后选系统别名 LOCAL点「获取服务」然后从列表里勾选以下技术名称技术名称用途/UI2/PAGE_BUILDER_CONF页面构建器配置/UI2/PAGE_BUILDER_PERS页面构建器个性化/UI2/PAGE_BUILDER_CUST页面构建器定制/UI2/INTEROP互操作服务/UI2/TRANSPORT传输服务勾选后点「Add Selected Services」系统会产生请求。接着选中 ZINTEROP 这类 Z 服务点「OAuth」按钮让「OAuth scope exists」列打勾。然后双击技术服务名称把光标放在左下方的 Internet 通信框架节点 ODATA 上点「调用浏览器」按钮。对另外 4 个 Z 服务重复同样操作。产生的 hash key 会记录在 USOBHASH 表里。# 检查 OData 服务是否激活成功的常用方式 # 1. 在 Gateway 系统用事务码 /IWFND/MAINT_SERVICE 查看服务列表 # 2. 确认 /UI2/PAGE_BUILDER_CONF 等服务的「系统别名」为 LOCAL # 3. 用事务码 /IWFND/ERROR_LOG 查看是否有服务激活时的错误 # 4. 在 Backend 系统用事务码 /IWBEP/ERROR_LOG 查看后端错误 # 5. 如果 OAuth scope 未勾上检查 USOBHASH 表中是否有对应记录参数说明系统别名 LOCAL 必须与第 3 章配的别名一致否则「获取服务」会返回空列表。OAuth 按钮的作用是生成 OAuth scope如果点完没反应检查 RFC 用户是否有 S_SERVICE 权限。调用浏览器时如果弹出 401说明 ICF 节点还没激活先做第 6 章。4. SICF 节点激活与角色分配从服务到人的最后一公里4.1 SICF 目录激活的完整清单第 6 章用 SICF 激活以下目录下的服务这是 Launchpad 能打开的前提/default_host/sap/bc/ui2/nwbc/default_host/sap/bc/ui2/start_up/default_host/sap/bc/ui5_ui5/sap/ar_srvc_launch/default_host/sap/bc/ui5_ui5/sap/ar_srvc_news/default_host/sap/bc/ui5_ui5/sap/arsrvc_upb_admn/default_host/sap/bc/ui5_ui5/ui2/ushell/default_host/sap/public/bc/ui2/default_host/sap/public/bc/ui5_ui5操作时在 SICF 输入服务路径右键「激活服务」。如果某个节点显示灰色不可激活先激活它的父节点。全部激活后用浏览器直接访问/sap/bc/ui5_ui5/ui2/ushell如果返回登录页或 JSON说明节点通了如果 404检查 ICF 服务是否被全局禁用事务码 SICF 的「服务/主机」菜单里看。4.2 PFCG 角色复制与权限生成第 7 章和第 8 章是角色分配。管理员角色复制 SAP_UI2_ADMIN_700 为 ZSAP_UI2_ADMIN_700在菜单页签选中「权限缺省值」添加 TADIR 服务其他自定义服务同样操作。然后在「权限」页签点「更改权限数据」再点「生成」。最后把 ZSAP_UI2_ADMIN_700 分配给 PABAP04。终端用户角色复制 SAP_UI2_USER_700 为 ZSAP_UI2_USER_700添加服务 ZINTEROP_0001 和 ZPAGE_BUILDER_PERS_0001然后分配给测试账号。注意测试账号在 1.1 里创建手册原文写的是「分配给测试账号 PABAP04」但 PABAP04 在 1.1 里被描述为管理员账号这里存在命名冲突。实际落地时建议测试账号用另一个用户名比如 PABAP05避免角色叠加导致验证失真。 PFCG 角色复制的关键步骤 1. 事务码 PFCG输入 SAP_UI2_ADMIN_700 2. 菜单角色-复制目标角色填 ZSAP_UI2_ADMIN_700 3. 进入「菜单」页签选中「权限缺省值」添加 TADIR 服务 4. 进入「权限」页签点「更改权限数据」 5. 点「生成」按钮系统会生成授权配置文件 6. 回到 SU01把 ZSAP_UI2_ADMIN_700 挂给 PABAP04 7. 对 SAP_UI2_USER_700 重复上述步骤生成 ZSAP_UI2_USER_700 8. 把 ZSAP_UI2_USER_700 挂给测试账号参数说明TADIR 服务用于授权对象目录的访问不添加的话后续自定义服务的权限会生成失败。生成按钮如果报「权限对象未维护」去 SU24 检查该事务码的权限对象建议值。角色分配后必须用 SU01 重新登录一次权限缓存才会刷新。5. 避坑与排查配置过程中最容易翻车的五个点5.1 现象OData 服务激活后「获取服务」列表为空原因系统别名 LOCAL 没有在 Gateway 到 SAP System 的连接设置里维护或者维护的别名指向了错误的 RFC 目标。解决回到第 3 章路径检查「Manage SAP System Aliases」里 LOCAL 是否存在RFC 目标是否可达。用 SM59 测试连接确认能通。5.2 现象SICF 节点激活后浏览器访问仍 404原因ICF 服务被全局禁用或者节点激活时只激活了子节点没激活父节点。解决SICF 菜单「服务/主机」-「全局设置」里确认 ICF 服务未禁用逐级检查父节点状态从 /default_host/sap 开始往下激活。5.3 现象PFCG 生成权限时报「权限对象未激活」原因SU24 里该事务码的权限对象建议值没维护或者角色菜单里的服务没有对应的授权对象。解决用 SU24 检查事务码的权限对象手动补充如果是自定义服务在 PFCG 的「权限缺省值」里手动添加 TADIR 和对应服务对象。5.4 现象测试账号登录 Launchpad 后磁贴不显示原因终端用户角色 ZSAP_UI2_USER_700 没有添加 ZINTEROP_0001 和 ZPAGE_BUILDER_PERS_0001或者角色没分配给测试账号。解决检查 PFCG 里角色菜单是否包含这两个服务检查 SU01 里测试账号的角色页签是否挂上了该角色重新登录验证。5.5 现象OAuth scope 列始终不勾选原因USOBHASH 表里没有生成对应记录通常是 RFC 用户权限不足或 OAuth 按钮点击时服务未处于激活状态。解决确认 RFC 用户有 S_SERVICE 权限确认服务已激活重新点 OAuth 按钮。如果仍不行用 /IWFND/ERROR_LOG 查看具体错误。6. 验证与进阶用 /IWFND/MAINT_SERVICE 做服务级排查配置完成后不要只靠浏览器刷新来判断成败。我一般会走一遍 /IWFND/MAINT_SERVICE在服务列表里逐个检查 /UI2/ 开头的服务状态。如果某个服务显示「未激活」直接在这里激活并重新生成 OAuth scope。另一个常用工具是 /IWFND/ERROR_LOG它会把 OData 调用失败的原因按时间倒序列出来比在浏览器控制台看 500 错误直观得多。进阶用法上如果你需要把配置从开发机搬到测试机不要手动重复上述步骤。用传输请求把 SICF 节点、OData 服务激活记录、PFCG 角色一起打包。SICF 节点可以通过「服务/主机」-「传输」功能生成请求OData 服务在 /IWFND/MAINT_SERVICE 里选中服务后点「传输」PFCG 角色在生成后会自动进请求。注意USOBHASH 表里的 OAuth hash key 不会自动传输目标系统需要重新点一次 OAuth 按钮。验证项事务码/路径预期结果RFC 连接SM59连接测试成功系统别名/IWFND/MAINT_SERVICE - 系统别名LOCAL 存在且指向正确OData 服务/IWFND/MAINT_SERVICE/UI2/ 服务全部激活SICF 节点SICF8 个目录全部激活角色权限PFCG - 权限页签生成无报错用户角色SU01 - 角色页签管理员和测试账号各挂对应角色Launchpad浏览器访问 /sap/bc/ui5_ui5/ui2/ushell登录后显示磁贴从那以后我每次配 Fiori 基线都会先把这张表打印出来每完成一项打个勾全部勾完再让业务方登录。希望帮到你。本文还有配套的精品资源点击获取