SAP FIORI: Tools für die Fehleranalyse

Tools wie die SUIM oder Berechtigungstraces in der SAP GUI sind für Fiori-Anwendungen oft nicht hilfreich, wenn es um die Fehleranalyse geht. In diesem Artikel erfahren Sie, welche Werkzeuge und Methoden Sie stattdessen nutzen können, um Berechtigungsprobleme in Fiori-Apps zu analysieren und zu beheben.

SAP-Fiori-Anwendungen laufen im Browser und greifen über das SAP Gateway auf das Backend zu. Dadurch unterscheiden sich die Analyse- und Fehlerbehebungsmethoden für Berechtigungen erheblich von klassischen SAP GUI-Transaktionen.

Während der User damit im besten Fall eine bessere, weil modernere, User Experience hat, kann der Technologie-Wechsel für Berechtiger eine Herausforderung darstellen. Nicht nur liegen Fiori-Fehlern oft ganz andere Ursachen zu Grunde, als wir es bei GUI-Anwendungen gewohnt sind. Auch die Tools, die Sie für die Analyse nutzen können, unterscheiden sich.

Fiori Fehleranalyse: die wichtigsten Transaktionen

Manchmal braucht das Problem gar keine umfangreichen technischen Analysen. Wenn User Fiori-Apps nicht öffnen können, keine Daten sehen oder ihr Launchpad nicht anzeigt, was es anzeigen soll, überprüfen Sie zuerst wie gewohnt die Rollen des Users.

Sind in den Rollen die nötigen Business Kataloge und Spaces enthalten? Das können Sie über folgende Transaktionen direkt in der SAP GUI analysieren:

• /UI2/FLPCM (Fiori Launchpad Content Manager mandantenunabhängig) oder /UI2/FLPCM_CUST (mandantenabhängig): Zeigt eine Übersicht der Business-Kataloge und ihrer Inhalte. Hier können Sie auch nachsehen, welche Apps in welchem Katalog verbaut sind.
• /UI2/FLC: Dient zur Analyse der Katalog- und Gruppen-Zuordnung zu Rollen (alte Fiori-Welt).
• PFCG: Suchen Sie im Menü der Rolle nach den Katalogen und Spaces. Hier sollten Sie auch die oData-Services sehen, die mit dem Business Katalog in der Rolle gelandet sind.
• SUIM: Über den Menüpunkt Rollen können Sie in der SUIM nach „startbaren Berechtigungen“ oder „Anwendungen im Rollenmenü“ suchen. Startbare Berechtigungen sind zum Beispiel oData-Services. Wenn Sie also wissen, welcher oData-Service benötigt wird, können Sie sich darüber alle Rollen ausgeben lassen, in denen er verbaut ist. „Anwendungen im Rollenmenü“ erlaubt Ihnen gezielt die Suche nach Katalogen und Spaces.
• /UI2/RSP_LIST: Listet Rollen mit zugehörigen Start-Autorisierungen für Fiori-Apps auf. Großartige Übersicht, um auf einen Blick zu sehen, welche Fiori-Elemente in einer Rolle verbaut sind – vom Katalog über Spaces und Pages bis zur einzelnen App inkl. Beschreibungstexten Fiori ID.
• SICF: Dient zur Aktivierung und Fehleranalyse von Fiori-relevanten ICF-Services. Hier können Sie Services auch aktivieren oder deaktivieren (Achtung: Das ist häufig Sache der Basis. Klären Sie also vorher die Zuständigkeiten!)
• /IWFND/MAINT_SERVIC: Zeigt alle Daten zu oData-Services an. Hier können Sie nicht nur Services aktivieren und deaktivieren. Sie können auch System-Aliase kontrollieren und zuweisen, Service-Metadaten prüfen und Testläufe starten.

F12: Developer Tools im Browser

Da Fiori-Apps im Browser laufen, sind die Entwickler-Tools im Browser eine erste Anlaufstelle, um Fehlerursache zu finden. Öffnen Sie die fehlerhafte Fiori-App und starten Sie die Entwickler Tools über die Taste F12. Nun führen Sie in der App die Aktion aus, bis der Fehler auftritt. Gehen Sie anschließend die einzelnen Tabs innerhalb der Entwickler-Tools durch, um mögliche Fehlerursachen zu identifizieren:

• Netzwerk-Tab: Hier werden die HTTP-Anfragen an das Gateway protokolliert. Fehlgeschlagene Anfragen (z. B. Statuscode 403 für „Forbidden“) geben Hinweise auf fehlende Berechtigungen.
• Konsole: JavaScript-Fehlermeldungen können Hinweise auf Probleme mit OData-Services oder falsche Konfigurationen liefern. Ist das der Fall wird hier auch die ID des Services ausgegeben, der fehlt oder nicht aktiviert ist.
• Application-Tab: Speichert Informationen zu Cookies und Sessions, die für die Anmeldung und Navigation wichtig sind. Manchmal ist auch bei Fiori-Fehlern die Lösung so einfach wie banal: Cache leeren hilft.

Transaktion /IWFND/ERROR_LOG (SAP Gateway Fehlerprotokoll)

Kommen Sie über die Entwickler Tools nicht weiter, können Sie es auch mit der Transaktion /IWFND/ERROR_LOG in der SAP-GUI versuchen. Sie zeigt Fehler an, die beim Zugriff auf das SAP Gateway auftreten. Insbesondere Berechtigungsfehler werden hier mit HTTP-Statuscodes und technischen Details protokolliert.

Wichtige Spalten:

• Fehlermeldung: Enthält Details zum Berechtigungsproblem.
• Benutzer: Gibt an, welcher User betroffen ist.
• Service-Name: Zeigt, welcher OData-Service betroffen ist.
• Fehlermeldungscode: Meist ein HTTP-Fehler wie 403 (Forbidden) oder 401 (Unauthorized).
• Ergebnis: Zeigt, welche RFC-Aufrufe fehlschlagen und welche Berechtigungsobjekte geprüft werden.

Zusätzlich zum Error Log können Sie auch die gängigen Berechtigungstraces und die Fehlerprotokolle über die SU53 nutzen. Sie sind häufig nicht allein aussagekräftig, können aber einen ersten Hinweis liefern. Fehlende oData-Services würden auch darin ausgeworfen – in Form einer fehlgeschlagenen Berechtigungsprüfung auf das Objekt S_SERVICE.

Gut zu wissen: Die Feldwerte für die Services werden in S_SERVICE als Hashwerte angegeben. Um zu prüfen, ob ein Service in einer Rolle verbaut bzw. ob er überhaupt im System aktiv ist, brauchen Sie aber seinen Namen. Um den Namen zum Hashwert aus dem Trace herauszufinden, können Sie die Tabelle USOBHASH nutzen.

Fiori Fehleranalyse: Typische Berechtigungsprobleme

Fiori funktioniert anders als ABAP-Berechtigungen, aber am Ende müssen Sie auch hier nur wissen, wo Sie hinsehen müssen. Viele Fehler lassen sich auf dieselben Ursachen zurückführen und sind vergleichsweise einfach zu lösen.

Fiori App lädt nicht oder zeigt Fehler

Wenn ein Benutzer eine Fiori-App öffnet und diese nicht lädt oder Fehlermeldungen anzeigt, liegt oft ein Problem mit den OData-Services vor.

Lösung:

• Über die Developer Tools im Browser, den STAUTHTRACE, die SU53 oder die Transaktion /IWFND/ERROR_LOG prüfen, ob Berechtigungen für bestimmte oData-Services fehlen.
• Wenn ein Service fehlt: Transaktionen /IWFND/MAINT_SERVICE bzw. SICF nutzen, um zu prüfen, ob der Service im System vorhanden und aktiv ist.
• Wenn die Services vorhanden und aktiv sind, können Sie den Service über die PFCG direkt ins Rollenmenü einfügen.

Fiori-App wird nicht angezeigt

Wenn eine Fiori-App im Launchpad nicht angezeigt wird, fehlen oft Berechtigungen für den Katalog oder die Space.

Lösung:

• Transaktion /UI2/RSP_LIST oder den Fiori Content Manager (Transaktion /UI2/FLC oder die entsprechende App im Launchpad) nutzen. Damit können Sie prüfen, in welchen Katalog und darüber in welchen Rollen die App verbaut ist.
• Wenn die App nicht verbaut ist, muss sie in einen passenden Businesskatalog verbaut werden, bevor dieser ins Menü einer passenden Rolle gehängt werden kann.
• Ist die App in einer oder mehrerer Rollen verbaut: SU01, SUIM oder PFCGnutzen, um zu prüfen, ob der User, bei dem der Fehler auftritt, mit einer dieser Rollen versorgt ist. Wenn nicht: Versorgung über SU01, PFCG oder ein IDM-Tool.

Fiori Fehleranalyse bei fehlenden Daten in Apps

Wenn die Fiori-App zwar startet, aber keine Daten lädt, fehlen oft Backend-Berechtigungen.

Lösung:

• STAUTHTRACE oder SU53 analysieren.
• Prüfen, welche Berechtigungsobjekte (z. B. S_TABU_DIS, S_RFC) auf Fehler gelaufen sind. Die fehlenden Berechtigungen in einer Backend-Rolle ergänzen und dem User zuweisen.