SAP Fiori Catalog治理：拆解Tile、Scope与权限链路

前两周帮一个客户做SAP Fiori Launchpad治理复盘，遇到一个特别典型的case：某条业务线反馈，某个Tile在张三的界面上能看到，在李四的界面上死活看不到。两个人都挂在同一个PFCG角色下，Catalog也都配了，Group也分过去了。查了一下午，最后发现原因是：我们一直以为“给角色挂了Catalog”就是“配好了桌面入口”，但实际上Catalog管的是“应用池”，用户桌面上放哪些组、哪些磁贴，是由Group控制的。这两个层级被混在一起讨论，是SAP Fiori Catalog Administration里最常见的失控起点。

这篇文章我想把Catalog、Tile、Scope这三层拆开讲一遍。你会发现，Fiori的管理难点从来不在单个点的配置上，而在怎么把这三个东西组织成一条能解释、能审计、能随组织变化而伸缩的治理链路。适合正在做Fiori rollout、FLP权限整改、或者被各种Tile忽隐忽现的问题折磨得够呛的Basis、Fiori管理员和后端开发一起看。

1. 治理失控的根源：Catalog、Tile、Scope经常被当成同一个东西在配

1.1 一个把“Group当成Catalog用”的现场

我见过不少项目里，管理员在Launchpad Designer里新建一个Group，把一堆Tile拖进去，然后告诉用户“桌面已经配好了”。听起来没什么问题，但接下来用户换一台电脑、或者新入职一个人，你需要在PFCG里重新配一遍。这个时候你会发现，Launchpad Designer里的Group是不跟权限走的，它只负责“当前这套前端系统上，页面长什么样”。

Catalog才是跟角色绑定的东西。如果你只是把Tile放在Group里而没有把对应的Catalog放进角色，那么用户在这个FLP站点上，根本不会在“应用查找器”里看到任何东西。换句话说，桌面上被拖到Group里的Tile只是“快捷方式的陈列”；Catalog才决定了这个用户是否“拥有”某个应用入口的浏览资格。

现场里最经典的报错就是：用户把Group当成Catalog去理解，为了一个新App加了一个Group、拖了Tile，然后在PFCG里找不到“这个Group怎么挂”。因为Group在前端是做个性化布局用的，不进入权限角色关系。

1.2 三层概念各管哪一段

把Fiori内容从权限和导航角度拆开，其实是三条责任链，链上每一环解决的问题都不同。

• Catalog：面向应用入口的“分类池”，它定义了“角色里包含了一批什么应用”。Catalog本身不关心页面排版，也不关心后端授权，它只是把一堆Tile和对应的Target打包成一个可分配的单元。
• Tile：用户能感知到的那张卡片，它作为UI入口展示名称、图标、计数。但Tile本身不负责“解引用”，它要依靠Target Mapping告诉你点击之后去哪个应用、用哪个语义对象和动作去发起导航。
• Scope：这个最容易被误读。它在很多项目里有两种含义，一种是实施范围（比如“HCM这个阶段上哪些流程、开哪些Fiori App”），另一种是运行时权限范围（用户到底能看多少、能进多少、能在后端做多少）。不管哪一种，它都要以Catalog和Tile的分配作为落地载体。

你可以把所有用户都放在同一个FLP前端上，这没问题。但不能让所有用户都挂同一个超集Catalog。Catalog的粒度如果太大，Scope就没有办法剪裁；Scope如果没有跟业务流程对应，Catalog最后就会膨胀成垃圾场。

1.3 治理视角下的三层模型

我在实际做整改时会用一个模型：可见性、可访问性、可执行性。

• 可见性由Catalog和Group共同决定。Catalog管“你能从应用查找器里找到什么”，Group管“这些Tile是否默认出现在你首页的某个分区里”。
• 可访问性由Target Mapping和前端导航的配置决定。Catalog里放了Tile，Tile也挂了Target，但Target对应的SICF服务、OData服务没激活或没暴露，Click之后就是白屏。
• 可执行性由后端的PFCG授权对象和网关层权限决定。Catalog让你看到入口，不代表你点了就能跑；后端没给到S_TCODE、对象级权限，或者OData服务的权限没配好，你在界面上会看到403或系统错误。

这三层你分别在三个地方排查，又必须在同一个角色矩阵里对齐。可以把一个用户能用的应用看成：Catalog分配提供了“候选菜单”，Target Mapping决定了导航到哪个后端资源，后端授权决定资源内能执行到哪个动作。这三者只要有一环错位，表现出来就是“菜单里看得到，点进去没权限”——这类问题占了Fiori运维工单的一大半。

2. Catalog配置实战：别把“目录”和“桌面分组”混为一谈

2.1 Catalog常用的维护入口

SAP Fiori Launchpad的内容维护入口现在比较收敛了。常规是用Manage Launchpad Content（Fiori App ID F2302，事务代码 /UI2/FLC）来维护Tile、Catalog、Target