做SAP这行久了一定会被问到一句话“SAP里怎么查询用户”说实话这个问题我至少被问过几十次而且问的人水平参差不齐——有刚入行的FICO顾问想找某个账号有安全模块的同事要导一份全量用户清单做审计还有业务经理说系统里别的人占了一张单据想知道是谁在操作。同样是“查询用户”需求完全不一样。如果你也是来搜这个问题的先别急着敲SU01我建议花两分钟把场景搞清楚再选对应的工具效率能差出好几倍。这篇就把SAP里查用户的几种主流做法全过一遍从用户主数据到在线会话从SAP Query报表到直接翻后台表新手能直接照着做老顾问也可以来对一下自己的方法有没有漏。1. 先别急着开事务代码把“查询用户”拆成四种真实需求很多新手在这个问题上绕远路本质是因为“用户”这个词在SAP里有好几层含义。它既可以指账号主数据谁有权限登录也可以指当前在线会话谁正在系统里操作还可以指权限分配关系某个角色下有谁甚至是一张自定义报表的主题把用户信息拉出来做分析。入口工具完全不同先定位需求比先记事务代码重要得多。1.1 四种典型场景对照我把实际工作中被问到的情况归纳成四种你可以直接对号入座场景你真正想问的首选工具用户主数据查询系统里有哪些账号、哪些是僵尸号、某人的账号状态SUIM、SE16N查USR02在线会话排查谁占着单据锁、谁卡住了会话、需要强制注销谁AL08、SM04、SM12权限追溯与审计谁是某角色的成员、谁的权限变更过SUIM、AGR_USERS等后台表自定义报表想把用户信息做成定期可跑的业务报表SQ01/SQ02/SQ03、SQVI举个例子同样是“查用户”权限审计的人拿AL08去看在线列表南辕北辙同样是用SU01想批量导清单的人会发现它一次只能看一个账号效率低到崩溃。所以先弄清楚你要的是“名单”“状态”还是“关系”。1.2 用三个问题快速定位需求我习惯用三个问题帮同事把需求压清楚你要的是一份“名单”还是一个“实时状态”名单类需求走SUIM或后台表查询实时状态类需求走AL08/SM04/SM12。是临时救火还是长期复用临时查一次用SE16N或SQVI最省事如果业务每个月都要跑就值得用SAP Query建正式报表并分配事务代码。你查的是“人”还是“权限”查“人”的核心表是USR01/USR02/ADRP查“权限分配”的核心是角色分配表AGR_USERS和SUIM的授权对象查询。这三个问题问完基本不会再用错工具。下面几个章节分别把这几条线路铺开讲。2. 用户主数据查询SUIM才是批量查人的主力SU01只是单账号入口如果只是查单个用户SU01当然够用——输入账号回车看角色、参数文件、登录数据。但实际工作中更常见的是“给我一份用户清单”“查一下有哪些人90天没登录了”“某个用户组下都有谁”这些需求SU01根本答不了正确入口是SUIM。2.1 SUIM是什么和SU01的区别在哪SUIM事务代码SUIM全称User Information System也就是用户信息系统。它不是一个单独的报表而是一整套固定报表的集合入口按“用户”“角色”“参数文件”“授权对象”“变更文档”等维度组织。SU01是操作入口能改能建SUIM是查询入口只看不改。做了多年项目我的体会是凡是涉及“批量”和“按条件筛选”的用户查询默认去SUIM别在SU01里折腾。进入SUIM后先展开“用户(Users)”节点能看到很多子报表常用的有用户综合查询User by Complex Criteria按账号、用户类型、用户组、最后登录时间等多个条件组合筛选。按最后登录查询找僵尸号的利器。按密码修改日期查询排查长期不换密码的账号。按用户组查询用户组User Group主要是为了把用户分类管理比如按部门、按外包/正式员工分。按参数文件/角色/授权对象查询跟权限追溯的入口后面会细说。2.2 实操示例找出所有超过90天未登录的账号这是我在做用户清理时最常用的操作步骤如下执行事务代码SUIM展开“用户”节点双击“用户综合查询”或“按最后登录”报表。在“最后登录”条件里输入截止日期比如本年度减90天的日期。注意这里的日期条件通常匹配的是USR02表的TRDAT最后一次成功登录日期。如果条件不够再补充用户类型对话用户选A系统用户选B服务用户选S或C。做账号清理时我一般只挑对话用户。执行系统列出一批账号包含账号名、用户名、用户类型、最后登录日期、锁定标志等信息。有个容易忽略的点这里的“最后登录日期”指的是最后一次成功登录的时间不是账号创建时间。如果某账号显示“最后登录空”那说明它可能从来没登录过——很多项目上线前批量导入的账号都长这样清理时别直接当僵尸号删先确认是不是预留账号。2.3 查用户归属角色和权限变更历史如果你想知道“谁拥有SAP_ALL”或者“某个角色下面有哪些用户”SUIM里对应的路径是“角色(Roles)”节点下的“按角色查询用户”。执行后输入角色名马上就能看到该角色的用户清单。权限变更历史则在“变更文档(Change Documents)”节点下查输入用户名和时间段能看到这个账号的角色分配、参数文件、授权在哪个时间点被谁改过。每次IT审计基本都要跑这个报表建议提前把它加到自己的常用事务代码收藏里。如果你想更进一步把“谁拥有SAP_ALL”这种高危账号一次性捞出来SUIM里按“参数文件/授权对象”查也行但更快的是直接查后台表AGR_1252 / AGR_USERS后者我会在第5章专门讲。2.4 结果导出的正确姿势查询结果出来以后多半要导出做二次处理。ALV列表上有导出按钮选择“电子表格”格式即可导出Excel。这里有个坑如果导出字段里有账号名、角色名这类长编号Excel经常会把它显示成科学计数法比如账号变成1.234E10看着就头疼。我的做法是导出时选择“XXL”格式带格式信息或者在Excel里先把列格式设为文本再打开。另外导出文件夹路径别带中文特殊字符否则低版本GUI可能会导到一半提示失败实测过几次。3. 在线用户与锁表排查AL08、SM04、SM12三件套第二大类“查询用户”需求来自运维排障。常见场景用户在系统里报“单据被锁了”你需要在几十上百个在线会话里快速定位是谁锁的、他正在跑什么事务、要不要强制注销。这套组合拳我几乎每周都用。3.1 AL08看全系统在线用户的全局视图AL08显示的是整个SAP系统所有应用服务器上的在线用户是排障第一站。执行后列表里能看到服务器名、用户名、终端、正在执行的事务代码、登录时间等关键信息。我常用的几个技巧按用户名过滤输入账号名关键词快速定位某人是否在线在哪台应用服务器上。调整列显示在列表设置里把“前端类型”列打开能区分用户是用SAP GUI还是Web访问偶尔能帮你判断是不是浏览器会话卡死。结合登录时间判断如果某人登录了很久而且事务代码一直没变多半是挂着不动未必是卡死。注意AL08给的是用户会话视角和SM50/SM66工作进程视角不是一回事。看用户卡不卡看AL08看哪个进程占CPU、跑什么报表才需要去看SM50。3.2 SM04单实例在线用户和强制注销SM04只显示你当前所在的这台应用服务器上的登录用户列字段和AL08类似但操作维度更细。选中一个用户可以用菜单里的“结束用户会话”强制注销对方。强制注销这个操作要慎重它等同于把对方的会话直接断开未保存的数据全部丢失。我在项目上处理过好几回因为误注销导致业务用户重做半小时单据的投诉。正确做法是先通过IM或电话联系对方确认没在操作再强制注销如果确实联系不上至少看下他当前事务代码是不是挂在查询报表这种无风险界面再做决定。3.3 SM12锁表记录才是“单据被锁”的最终答案用户说“单据被锁”很多时候你根本不用去看在线用户直接进SM12查锁表记录更准确。SM12是锁表条目查看工具能看到当前系统里有哪些锁定对象Lock Object被谁持有、什么时间加的锁。操作步骤执行事务代码SM12。在“表名”里输入锁定的表比如物料主数据相关的MARA、MARC或者干脆按用户名查。系统列出锁条目里面能看到持有者账号、锁定日期时间、事务代码。确认无误后选中锁条目点删除垃圾箱图标即可释放。必须强调一点SM12主动删锁是最后手段只在确认持有者已经下线、会话卡死或账号被误操作的情况下使用。正常流程是先让持有者保存或回滚因为强删锁可能导致数据状态不一致尤其是跨表锁定的时候后面容易出“数据没写全但锁没了”的麻烦。3.4 一套完整的单据被锁排查链路给你一个可以直接抄的流程用户报“某某单据不能修改”先让用户把报错界面截图确认锁对象和表名。执行SM12按表名查锁条目拿到持有者账号。执行AL08看这个持有者是否在线、在哪台服务器、正在跑什么事务。如果在线且正常操作提醒用户等对方释放如果对方会话卡死或已下线联系确认后强删锁。这套链路十分钟内都能走完比反复让用户退出重试强太多。4. 用SAP QuerySQ01/SQ02/SQ03把用户查询做成正式报表如果说前面两章是“查现成的”那这一章解决的是“业务要定期看没有现成报表”的问题。SAP Query事务代码SQ01/SQ02/SQ03是SAP内置的报表生成工具不需要写ABAP代码业务顾问和关键用户经过简单培训就能自己维护非常实用。4.1 为什么推荐用SAP Query而不是写ABAP遇到自定义报表需求很多人第一反应是让开发写ABAP程序。但对于用户主数据查询这种不算复杂的场景SAP Query有它的优势开发零成本、改动快调整查询列和条件不需要改代码重新传输、业务用户自己能维护。热词里有人搜“SAP Query报表怎么建tcode”说明这工具确实被广泛使用但又容易卡在建事务代码这一步后面我会专门讲。当然它也有局限SAP Query的信息集在跨表连接上不如SQVI和自开发程序灵活所以我的原则是“单表或少量字段用SAP Query复杂关联用SQVI再复杂的才上ABAP”。下面这个例子就以USR02单表为基础足够应付大多数用户登录数据查询需求。4.2 第一步SQ02建信息集SQ02是维护信息集的入口。所谓信息集就是告诉SAP Query“你的数据从哪里来、有哪些字段可以用”。操作步骤执行事务代码SQ02。点“创建”输入信息集名称建议Z开头比如ZUSER_LOGON描述写“用户登录信息查询”。数据来源选择“表直接读取/Direct Table Read”表名填USR02登录数据表。进入字段选择界面勾选需要在报表中使用的字段包括账号名BNAME、用户类型USTYP、用户组CLASS、锁定标志UFLAG、最后登录日期TRDAT、最后登录时间LTIME、有效期起止GLTGB/GLTGV等。保存并生成信息集版本。这里有个细节如果后续要显示用户的中文姓名、邮箱单表USR02不够。在实践中我会在SQVI里做多表连接来解决见第5章SAP Query这边一般只负责登录数据维度。4.3 第二步SQ03建用户组用户组的作用是控制“哪些用户能跑哪些查询”避免每个业务用户都能看到全量账号数据。操作执行事务代码SQ03。点“创建”维护用户组名称和描述比如“财务用户组”。在“用户分配”里把需要授权的账号加进去。保存。常见错误是建了查询但忘了在SQ03里分配用户结果业务用户执行查询时报“没有权限”或根本看不到查询。这一步容易漏我见过很多人建完SQ01发现别人跑不了回来补SQ03。4.4 第三步SQ01建查询SQ01是维护查询本身的地方也就是定义选择条件、输出字段、排序规则。操作步骤执行事务代码SQ01。选择刚才建的用户组和信息集。点“创建”给查询起名比如ZRPT_USER_LOGON描述“用户登录情况查询”。在“选择字段”里勾选允许作为查询条件的字段比如账号名BNAME可输模糊值、用户类型USTYP、最后登录日期TRDAT可输区间。在“输出字段”里勾选要显示的列比如BNAME、USTYP、CLASS、UFLAG、TRDAT。设置排序一般按账号名升序。保存后可以直接执行预览结果。实际使用中UFLAG这个字段很多人不会看我建议把它保留到输出字段里。UFLAG是位编码比如1表示锁定64表示密码过期128表示下次登录强制改密码。做用户清理时这个字段能帮大忙。4.5 最关键的一步给查询生成事务代码热词里专门有人搜“SAP Query报表怎么建tcode”因为SAP Query默认生成的报表是没有独立事务代码的用户得先进SQ01再找到查询才能跑很不方便。解决办法有两个推荐做法在SQ01保存查询后使用菜单路径“查询”里的“生成事务代码”功能旧版本在“更多功能”下系统会提示输入事务代码名称比如ZQR_USER_LOGON确认后自动生成一个可直接执行的事务代码。以后用户直接敲这个事务代码就能跑报表还能把它挂到角色菜单里。备选做法去SE93手工创建事务类型选“报表”程序名填查询生成的报表程序。这个方法步骤多、容易出错不如直接在SQ01里生成。我自己维护的一个财务团队核心用户每次用回车敲ZQR_USER_LOGON就能查账号状态完全不需要进开发环境这就是SAP Query的价值所在。5. 绕过SAP Query的快捷路线直接查后台表有时候你连信息集都不必建——查用户本质上是查数据而用户主数据就放在那几张标准的透明表里。会用SE16N和SQVI比学SAP Query还要快尤其适合顾问自己排查问题。5.1 用户主数据核心表对照表名用途关键字段USR01用户主数据通用数据BNAME账号、SPRAS语言、STCOD岗位等USR02用户登录数据核心中的核心BNAME、USTYP用户类型、UFLAG锁定标志、TRDAT最后登录、GLTGB/GLTGV有效期USR21账号与人员编号的关联BNAME、PERSNUMBERADRP人员主数据姓名、部门PERSNUMBER、NAME_LAST、NAME_FIRST、部门ADR6电子邮箱ADDRESSNUMBER、SMTP_ADDRAGR_USERS角色与用户分配关系AGR_NAME角色名、UNAME用户名这里说几个排查经验USR02是所有账号查询的起点判断账号能不能登录先看UFLAG和有效期要看中文姓名就得从USR02经USR21关联到ADRP邮箱则在ADR6里。SE16N直接输入这些表名就能查比SUIM在某些场景下更灵活。5.2 SE16N实操示例查某部门所有对话用户比如业务问你“生产部门有哪些账号”可以这样做执行事务代码SE16N表名输ADRP。在过滤条件里输入部门字段的关键词部门字段是ORT01还是部门代码取决于项目自建设置执行拿到一批人员编号。用USR21反查这些人员编号对应的账号BNAME。回到USR02核对账号状态。虽然步骤多但SE16N的界面可以直接导出清单比在SUIM里点半天报表还灵活。缺点是表之间的关联要自己写不像SQVI能一步到位。5.3 SQVI把多表连接做成一个视图SQVIQuickViewer是我查用户时最常用的工具没有之一。它能让你像搭积木一样把表连起来生成一个可复用的查询视图而且不需要建InfoSet和用户组适合顾问自己用。操作步骤执行事务代码SQVI输入视图名称比如ZUSER_INFO点“创建”。选择“表连接Table Join”方式。依次添加USR02、USR21、ADRP、ADR6。维护连接关系USR02-BNAME USR21-BNAMEUSR21-PERSNUMBER ADRP-PERSNUMBERADRP-ADRNR ADR6-ADRNR。注意ADRP和ADR6之间是用地址号关联没建立关系的字段要手动配对。勾选需要的字段账号、姓名、部门、邮箱、用户类型、最后登录日期。保存视图后直接定义选择条件并执行。我建好这个视图之后所有“某人邮箱是多少”“某部门有哪些账号”之类的问题三分钟内都能给出答案。如果你要长期用SQVI还能把它转换为SAP Query查询属于进阶玩法等需要的时候再研究也不迟。5.4 直接查表的性能与权限注意事项直接查表虽然爽但有两个点必须注意。第一USR02这种系统表在正式环境通常有几万甚至几十万条记录SE16N全表扫描偶尔会卡所以一定要在“条件”里尽量缩小范围比如用户类型、用户组、账号名前缀。第二直接查用户主数据涉及个人信息权限上要谨慎公司合规要求严格的环境下导出的数据不能随意分发最好先跟安全管理员确认数据使用范围。6. 查用户时踩过的那些坑最后聊几个我在实际项目中反复踩过的坑都是真实教训希望能帮后来的同行绕开。6.1 用户状态判断UFLAG不是只有“锁”和“没锁”有一次客户让我查“哪些账号被锁了”我直接查USR02的UFLAG看到UFLAG1就报上去。结果审计人员发现漏掉了一大批“密码过期”的账号。后来才清楚UFLAG是位编码1代表锁定64代表密码过期128代表下次登录强制改密。也就是说UFLAG不等于1的账号未必是正常的。正确做法是把这几个值都拉出来同时结合USR02的GLTGB/GLTGV有效期字段判断。再提醒一点有些账号被锁定是“尝试次数过多”导致的临时锁跟管理员手工锁状态不同别一刀切全解锁先看锁定的原因。6.2 通配符和大小写的坑SAP账号名本身是大写存储的但姓名、邮箱、部门字段不一定。SE16N里模糊搜索用号例如BNAME输A能搜出所有A开头的账号。但如果是搜姓名里的中文注意编码和大小写的匹配问题有时候搜“张”搜不出“張”。建议能按账号搜就按账号搜姓名搜索作为辅助手段。还有一次教训SE16N里输条件时数值字段忘了把前导零去掉导致怎么查都查不到。比如有些字段长度20位实际值只有6位必须在条件里按实际存储格式填不然就是白查。6.3 别在业务高峰期做全表扫描我有一次临近月末结账时用SE16N对USR02做了一次无条件的全表查询结果系统资源被占用了一小段时间虽然没出大事但被基础架构的同事善意提醒了。从那以后我定了个规矩高峰期不跑无条件的全表扫描实在要查就限定客户端、限定用户类型或者扔到后台运行再取结果。这是对系统负责也是对自己负责。6.4 权限不足别硬闯SUIM、SE16N、SQVI这些工具默认都需要一定的权限。如果你执行时报“权限不足”不要试图去绕过授权检查更别动SAP_ALL的念头。正确做法是找安全管理员说明你的业务场景申请针对特定表的查询权限一般会走授权对象的审批流程。我在一个汽车零部件项目上就是通过走正规申请拿到了只读查USR02和ADRP的权限安全合规和业务需求两头都照顾到了。查用户这件事看起来很简单但把SUIM、AL08、SM12、SAP Query、SE16N/SQVI这五条线都理顺之后你会发现它几乎贯穿了SAP运维的方方面面。我个人的体会是与其背一堆事务代码不如先搞懂每种查询工具的定位再结合自己的岗位选一两条主线深耕比什么都好使。上面这些方法都是我这些年一个个业务需求、一场场排障实战里磨出来的希望能帮你少走点弯路。如果你有更巧的查法也欢迎交流。