Fehlersuche bei HTTP 403 Forbidden in SAP-Fiori-Apps

Was ein 403 in Fiori bedeutet

HTTP 403 Forbidden bedeutet, dass die Anfrage den Server erreicht hat und der Benutzer authentifiziert ist, der Zugriff aber verweigert wurde. In Fiori-Szenarien kann die Ablehnung aus mehreren Schichten stammen — dieselbe Fehlermeldung hat daher unterschiedliche Ursachen.

Häufige Ursachen

• Fehlende Berechtigung für den OData-Service. Der Zugriff auf einen Service wird über das Berechtigungsobjekt S_SERVICE geprüft; der Service muss in einer dem Benutzer zugeordneten Rolle enthalten sein.
• Unvollständiger Rolleninhalt. Der Business-Katalog oder die App ist zugeordnet, aber die Backend-Rolle mit den zugrunde liegenden Berechtigungen fehlt — oder umgekehrt.
• Fehlende Startberechtigung. Manche Apps und Services prüfen zusätzlich Startberechtigungen wie S_START.
• Inaktiver ICF-Service. Ein inaktiver Knoten im Internet Communication Framework (Transaktion SICF) kann ebenfalls zu einer 403-Antwort führen.
• Fachliche Berechtigungen. Der Serviceaufruf gelingt, aber eine fachliche Prüfung (zum Beispiel Buchungskreis oder Verkaufsorganisation) lehnt die konkrete Datenanfrage ab.

Systematisches Vorgehen

1. Reproduzieren Sie den Fehler und notieren Sie Service und Entity Set aus dem Netzwerk-Trace des Browsers.
2. Prüfen Sie das Gateway-Fehlerprotokoll und den Berechtigungstrace des Benutzers zu diesem Zeitpunkt.
3. Vergleichen Sie die Rollen des Benutzers mit Katalog, OData-Service und den Backend-Berechtigungen, die die App benötigt.
4. Stellen Sie sicher, dass der ICF-Service in jedem System der Landschaft aktiv ist.
5. Korrigieren Sie das Rollendesign statt des einzelnen Benutzers, damit die Korrektur transportierbar ist.

Der Fiori 403 Root-Cause Doctor von ERP Preflight verknüpft Rollenexporte, Service-Definitionen und Tracedaten und benennt das fehlende Glied mit Nachweis. Siehe Betrieb.