SAP: soporte a usuarios desde IT sin ser consultor de SAP

Qué vas a conseguir

Resolver en IT lo que es de IT (el puesto, la red, la impresora, la cuenta) y pasar al equipo SAP lo que es de SAP (permisos, configuración, procesos) con la información que necesita para no volver a preguntar. En una industria con plantas en varios países, SAP es el sistema que mueve pedidos, producción y expediciones: un almacén que no imprime albaranes es un camión esperando en el muelle.

Antes de empezar

• Qué tiene autorizado IT por escrito: muchas empresas permiten a la mesa de ayuda desbloquear usuarios y cambiar contraseñas en SU01, y nada más. Lo que no está en ese documento se escala.
• Los sistemas y su papel: producción (por ejemplo PRD), calidad (QAS) y desarrollo (DEV), con su mandante. Un cambio en el sistema equivocado es peor que no hacerlo.
• El equipo SAP (interno o un socio de mantenimiento): cola de tickets, horario y guardia fuera de horario, sobre todo si las plantas trabajan a turnos.
• La versión de SAP GUI homologada y el paquete de instalación que la empresa distribuye.

1. SAP GUI y las conexiones

El equipo SAP suele preparar un servidor de instalación con un paquete propio (SAP GUI, complementos de Office si se usan, y la configuración de conexiones). IT lo distribuye como cualquier otra aplicación.

›& \\srv-files01\sapgui\Setup\NwSapSetup.exe /Silent /Package="SAPGUI-CONTOSO"›$LASTEXITCODE0›Get-ChildItem "$env:APPDATA\SAP\Common" -Filter *.xml | Select-Object Name, LastWriteTimeName                   LastWriteTime----                   -------------SAPUILandscape.xml     28/10/2026 09:12:40

• Las entradas de SAP Logon viven en SAPUILandscape.xml. Lo mejor es que apunten a un fichero central de conexiones que mantiene el equipo SAP: si cambia un servidor, no hay que tocar cada PC.
• Una conexión lleva el servidor de aplicaciones y el número de instancia, o el servidor de mensajes y el grupo de inicio de sesión, y el identificador del sistema. Si el puesto está en otro país y pasa por un SAProuter, también la cadena del router.
• Puertos que la red debe dejar pasar: 32NN (dispatcher) y, si se usa grupo de inicio de sesión, 36NN (servidor de mensajes), donde NN es el número de instancia. Una planta que no llega a SAP casi siempre es esto o la VPN.
• Si hay inicio de sesión único (SNC con Kerberos), un usuario al que le pide contraseña tiene un problema de su cuenta de Windows o del puesto, no de SAP.

2. Usuarios bloqueados y contraseñas (si IT está autorizado)

En la transacción SU01, con el usuario de SAP (no siempre coincide con el de Windows):

1. Comprueba quién pide el desbloqueo: el propio usuario por un canal identificado, no un compañero por teléfono.
2. Mira el motivo. Bloqueado por intentos erróneos: desbloquea y, si no recuerda la contraseña, asigna una inicial que el sistema obligará a cambiar. Bloqueado por el administrador: no lo toques, suele ser una baja o una decisión de seguridad; escala.
3. Revisa la validez: un usuario con fecha Válido hasta pasada no entra aunque no esté bloqueado. Ampliarla no suele estar autorizado a IT.
4. Anota en el ticket el sistema, el mandante y lo que hiciste.

3. Errores de autorización: SU53

Cuando un usuario dice "no me deja" o "no tengo autorización", la respuesta no la tiene IT, pero IT puede recoger la prueba:

1. Que repita la acción hasta el error.
2. Justo después, en el campo de comandos: /nSU53. Muestra la última comprobación de autorización fallida: el objeto (por ejemplo V_LIKP_VST, entregas por puesto de expedición), el campo y el valor que faltan.
3. Captura de esa pantalla al ticket y escala al equipo de seguridad SAP o de roles.

Si tienes permiso, SU53 también puede mostrar el último error de otro usuario. Es útil cuando el usuario está en una nave sin forma fácil de enviarte una captura.

4. Impresión desde SAP: SPAD y SP01

SAP no imprime en "la impresora de Windows" del usuario, salvo en impresión desde el puesto. Imprime en un dispositivo de salida definido en SPAD:

Cada impresión genera una orden de spool que se ve en SP01 (todas, con permiso) o SP02 (las propias). El estado dice dónde se quedó: En espera, Problema, Error o Completada.

5. El ticket: "no se pueden imprimir albaranes desde SAP en el almacén"

Miércoles, 06:40, planta 9. El turno de expediciones no imprime albaranes y hay dos camiones en el muelle.

1. ¿Una impresora o todas? Si otras impresoras del almacén imprimen desde SAP, el problema está en esa impresora o su dispositivo.
2. En SP01, filtrando por el dispositivo AL09 y la última hora: las órdenes están en Error, y el registro de la orden de salida dice que no se puede conectar con el host de la impresora.
3. En SPAD (solo lectura): el dispositivo AL09 usa método de acceso U hacia 10.9.20.45.
4. Desde la red:

›Test-NetConnection 10.9.20.45 -Port 515WARNING: TCP connect to (10.9.20.45 : 515) failedTcpTestSucceeded : False›Get-DhcpServerv4Lease -ComputerName srv-dhcp09 -ScopeId 10.9.20.0 | Where-Object HostName -like "*alm-exp*"IPAddress    ClientId           HostName         AddressState---------    --------           --------         ------------10.9.20.88   00-1b-63-4a-7c-21  prn-alm-exp01    Active

La impresora se cambió ayer por avería, la nueva tiene otra MAC y el DHCP le dio otra IP. SAP sigue enviando a la antigua.

1. La solución de IT: actualizar la reserva de DHCP con la MAC nueva para que vuelva a 10.9.20.45, reiniciar la impresora y comprobar el puerto. No hace falta tocar SPAD.
2. Reimprimir: las órdenes en error se pueden volver a enviar desde SP01, o el usuario reimprime los albaranes desde SAP (por ejemplo con VL71, salida de entregas) si su rol lo permite.
3. Si la impresora nueva es de otro modelo e imprime caracteres extraños, el tipo de dispositivo ya no corresponde: eso se escala al equipo SAP para cambiarlo en SPAD.

Una impresora de almacén usada por SAP lleva IP reservada y etiqueta con el nombre del dispositivo SAP. El técnico que la cambia sabe así que hay algo más que conectarla.

6. SM04, SM21 y cuándo escalar

Si tienes acceso de lectura:

• SM04: usuarios conectados en el servidor de aplicaciones actual (AL08 para todos los servidores). Sirve para confirmar si un usuario tiene sesiones abiertas o colgadas.
• SM21: registro del sistema. Útil para ver si a la hora del problema hubo errores generales (de spool, de base de datos, de comunicaciones) y no solo en ese usuario.
• SM12 (bloqueos de registros) y ST22 (volcados de programa): se miran, no se borran. Borrar una entrada de SM12 puede dejar un documento a medias.

Siguientes pasos

• La guía de Impresoras del Nivel 1 cubre el lado de la impresora y el servidor de impresión.
• La guía de Jira Service Management ayuda a montar la cola compartida entre IT y el equipo SAP.
• La guía de Windows 10 y 11 sirve para empaquetar y distribuir SAP GUI con el resto del puesto.
• La guía de Fortinet FortiGate explica las reglas que necesita una planta remota para llegar a SAP.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.