Qué vas a conseguir
Resolver en IT lo que es de IT (el puesto, la red, la impresora, la cuenta) y pasar al equipo SAP lo que es de SAP (permisos, configuración, procesos) con la información que necesita para no volver a preguntar. En una industria con plantas en varios países, SAP es el sistema que mueve pedidos, producción y expediciones: un almacén que no imprime albaranes es un camión esperando en el muelle.
Antes de empezar
- Qué tiene autorizado IT por escrito: muchas empresas permiten a la mesa de ayuda desbloquear usuarios y cambiar contraseñas en SU01, y nada más. Lo que no está en ese documento se escala.
- Los sistemas y su papel: producción (por ejemplo
PRD), calidad (QAS) y desarrollo (DEV), con su mandante. Un cambio en el sistema equivocado es peor que no hacerlo. - El equipo SAP (interno o un socio de mantenimiento): cola de tickets, horario y guardia fuera de horario, sobre todo si las plantas trabajan a turnos.
- La versión de SAP GUI homologada y el paquete de instalación que la empresa distribuye.
1. SAP GUI y las conexiones
El equipo SAP suele preparar un servidor de instalación con un paquete propio (SAP GUI, complementos de Office si se usan, y la configuración de conexiones). IT lo distribuye como cualquier otra aplicación.
& \\srv-files01\sapgui\Setup\NwSapSetup.exe /Silent /Package="SAPGUI-CONTOSO"$LASTEXITCODE0Get-ChildItem "$env:APPDATA\SAP\Common" -Filter *.xml | Select-Object Name, LastWriteTimeName LastWriteTime---- -------------SAPUILandscape.xml 28/10/2026 09:12:40- Las entradas de SAP Logon viven en
SAPUILandscape.xml. Lo mejor es que apunten a un fichero central de conexiones que mantiene el equipo SAP: si cambia un servidor, no hay que tocar cada PC. - Una conexión lleva el servidor de aplicaciones y el número de instancia, o el servidor de mensajes y el grupo de inicio de sesión, y el identificador del sistema. Si el puesto está en otro país y pasa por un SAProuter, también la cadena del router.
- Puertos que la red debe dejar pasar:
32NN(dispatcher) y, si se usa grupo de inicio de sesión,36NN(servidor de mensajes), dondeNNes el número de instancia. Una planta que no llega a SAP casi siempre es esto o la VPN. - Si hay inicio de sesión único (SNC con Kerberos), un usuario al que le pide contraseña tiene un problema de su cuenta de Windows o del puesto, no de SAP.
2. Usuarios bloqueados y contraseñas (si IT está autorizado)
En la transacción SU01, con el usuario de SAP (no siempre coincide con el de Windows):
- Comprueba quién pide el desbloqueo: el propio usuario por un canal identificado, no un compañero por teléfono.
- Mira el motivo. Bloqueado por intentos erróneos: desbloquea y, si no recuerda la contraseña, asigna una inicial que el sistema obligará a cambiar. Bloqueado por el administrador: no lo toques, suele ser una baja o una decisión de seguridad; escala.
- Revisa la validez: un usuario con fecha Válido hasta pasada no entra aunque no esté bloqueado. Ampliarla no suele estar autorizado a IT.
- Anota en el ticket el sistema, el mandante y lo que hiciste.
3. Errores de autorización: SU53
Cuando un usuario dice "no me deja" o "no tengo autorización", la respuesta no la tiene IT, pero IT puede recoger la prueba:
- Que repita la acción hasta el error.
- Justo después, en el campo de comandos:
/nSU53. Muestra la última comprobación de autorización fallida: el objeto (por ejemploV_LIKP_VST, entregas por puesto de expedición), el campo y el valor que faltan. - Captura de esa pantalla al ticket y escala al equipo de seguridad SAP o de roles.
Si tienes permiso, SU53 también puede mostrar el último error de otro usuario. Es útil cuando el usuario está en una nave sin forma fácil de enviarte una captura.
4. Impresión desde SAP: SPAD y SP01
SAP no imprime en "la impresora de Windows" del usuario, salvo en impresión desde el puesto. Imprime en un dispositivo de salida definido en SPAD:
| Dato del dispositivo | Qué significa |
|---|---|
| Nombre corto (4 caracteres) | El que el usuario elige o el que trae por defecto la clase de mensaje |
| Tipo de dispositivo | El lenguaje que SAP envía (PCL, PostScript, ZPL para etiquetas) |
| Método de acceso | U (protocolo Berkeley/LPD hacia la impresora o un servidor), S (SAPSprint en un servidor Windows), F o G (impresión desde el puesto del usuario), C o L (por el sistema operativo del servidor SAP) |
| Impresora en el host | IP o nombre de la impresora, o la cola del servidor de impresión |
Cada impresión genera una orden de spool que se ve en SP01 (todas, con permiso) o SP02 (las propias). El estado dice dónde se quedó: En espera, Problema, Error o Completada.
5. El ticket: "no se pueden imprimir albaranes desde SAP en el almacén"
Miércoles, 06:40, planta 9. El turno de expediciones no imprime albaranes y hay dos camiones en el muelle.
- ¿Una impresora o todas? Si otras impresoras del almacén imprimen desde SAP, el problema está en esa impresora o su dispositivo.
- En SP01, filtrando por el dispositivo
AL09y la última hora: las órdenes están en Error, y el registro de la orden de salida dice que no se puede conectar con el host de la impresora. - En SPAD (solo lectura): el dispositivo
AL09usa método de accesoUhacia10.9.20.45. - Desde la red:
Test-NetConnection 10.9.20.45 -Port 515WARNING: TCP connect to (10.9.20.45 : 515) failedTcpTestSucceeded : FalseGet-DhcpServerv4Lease -ComputerName srv-dhcp09 -ScopeId 10.9.20.0 | Where-Object HostName -like "*alm-exp*"IPAddress ClientId HostName AddressState--------- -------- -------- ------------10.9.20.88 00-1b-63-4a-7c-21 prn-alm-exp01 ActiveLa impresora se cambió ayer por avería, la nueva tiene otra MAC y el DHCP le dio otra IP. SAP sigue enviando a la antigua.
- La solución de IT: actualizar la reserva de DHCP con la MAC nueva para que vuelva a
10.9.20.45, reiniciar la impresora y comprobar el puerto. No hace falta tocar SPAD. - Reimprimir: las órdenes en error se pueden volver a enviar desde SP01, o el usuario reimprime los albaranes desde SAP (por ejemplo con VL71, salida de entregas) si su rol lo permite.
- Si la impresora nueva es de otro modelo e imprime caracteres extraños, el tipo de dispositivo ya no corresponde: eso se escala al equipo SAP para cambiarlo en SPAD.
Una impresora de almacén usada por SAP lleva IP reservada y etiqueta con el nombre del dispositivo SAP. El técnico que la cambia sabe así que hay algo más que conectarla.
6. SM04, SM21 y cuándo escalar
Si tienes acceso de lectura:
- SM04: usuarios conectados en el servidor de aplicaciones actual (AL08 para todos los servidores). Sirve para confirmar si un usuario tiene sesiones abiertas o colgadas.
- SM21: registro del sistema. Útil para ver si a la hora del problema hubo errores generales (de spool, de base de datos, de comunicaciones) y no solo en ese usuario.
- SM12 (bloqueos de registros) y ST22 (volcados de programa): se miran, no se borran. Borrar una entrada de SM12 puede dejar un documento a medias.
| Escala al equipo SAP cuando | Información que debe llevar el ticket |
|---|---|
| Falta una autorización | Captura de SU53, usuario, sistema y mandante |
| Un dispositivo de salida está mal configurado | Nombre del dispositivo, orden de spool y su registro |
| Un programa da un volcado | Transacción, hora y el identificador de ST22 |
| Lento para todos o caído | Hora de inicio, plantas afectadas y prueba de red hecha |
| Cualquier cambio en producción que no esté autorizado a IT | Qué se pide y quién lo pide |
Siguientes pasos
- La guía de Impresoras del Nivel 1 cubre el lado de la impresora y el servidor de impresión.
- La guía de Jira Service Management ayuda a montar la cola compartida entre IT y el equipo SAP.
- La guía de Windows 10 y 11 sirve para empaquetar y distribuir SAP GUI con el resto del puesto.
- La guía de Fortinet FortiGate explica las reglas que necesita una planta remota para llegar a SAP.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
Fixing in IT what belongs to IT (the desktop, the network, the printer, the account) and passing to the SAP team what belongs to SAP (authorisations, configuration, processes) with the information they need so they don't have to ask again. In an industrial company with plants in several countries, SAP is the system that drives orders, production and shipping: a warehouse that can't print delivery notes is a lorry waiting at the dock.
Before you start
- What IT is authorised to do, in writing: many companies let the service desk unlock users and reset passwords in SU01, and nothing else. Anything not in that document is escalated.
- The systems and their role: production (for example
PRD), quality (QAS) and development (DEV), with their client. A change on the wrong system is worse than no change. - The SAP team (internal or a maintenance partner): ticket queue, hours and out-of-hours on-call, especially if the plants run shifts.
- The approved SAP GUI version and the installation package the company distributes.
1. SAP GUI and connections
The SAP team usually prepares an installation server with its own package (SAP GUI, Office add-ins if used, and the connection configuration). IT distributes it like any other application.
& \\srv-files01\sapgui\Setup\NwSapSetup.exe /Silent /Package="SAPGUI-CONTOSO"$LASTEXITCODE0Get-ChildItem "$env:APPDATA\SAP\Common" -Filter *.xml | Select-Object Name, LastWriteTimeName LastWriteTime---- -------------SAPUILandscape.xml 28/10/2026 09:12:40- SAP Logon entries live in
SAPUILandscape.xml. Ideally they point to a central connections file maintained by the SAP team: if a server changes, you don't touch every PC. - A connection holds the application server and instance number, or the message server and logon group, plus the system ID. If the desktop is in another country and goes through a SAProuter, also the router string.
- Ports the network must allow:
32NN(dispatcher) and, if a logon group is used,36NN(message server), whereNNis the instance number. A plant that can't reach SAP is almost always this or the VPN. - With single sign-on (SNC with Kerberos), a user who gets a password prompt has a problem with their Windows account or the desktop, not with SAP.
2. Locked users and passwords (if IT is authorised)
In transaction SU01, with the SAP user ID (it doesn't always match the Windows one):
- Check who is asking for the unlock: the user themselves through an identified channel, not a colleague on the phone.
- Look at the reason. Locked due to incorrect logon attempts: unlock and, if they don't remember the password, set an initial one the system will force them to change. Locked by administrator: leave it alone, it's usually a leaver or a security decision; escalate.
- Check validity: a user whose Valid through date has passed can't log on even if not locked. Extending it is usually not authorised for IT.
- Note in the ticket the system, the client and what you did.
3. Authorisation errors: SU53
When a user says "it won't let me" or "I'm not authorised", IT doesn't have the answer, but IT can collect the evidence:
- Have them repeat the action until the error.
- Straight afterwards, in the command field:
/nSU53. It shows the last failed authorisation check: the object (for exampleV_LIKP_VST, deliveries by shipping point), the field and the missing value. - Attach a screenshot of that screen to the ticket and escalate to the SAP security or roles team.
If you're allowed, SU53 can also show the last error of another user. It's useful when the user is on the shop floor with no easy way to send you a screenshot.
4. Printing from SAP: SPAD and SP01
SAP doesn't print to the user's "Windows printer", except with front-end printing. It prints to an output device defined in SPAD:
| Device field | What it means |
|---|---|
| Short name (4 characters) | The one the user picks or the output type brings by default |
| Device type | The language SAP sends (PCL, PostScript, ZPL for labels) |
| Access method | U (Berkeley protocol/LPD to the printer or a server), S (SAPSprint on a Windows server), F or G (front-end printing from the user's desktop), C or L (through the SAP server's operating system) |
| Host printer | IP or name of the printer, or the print server queue |
Each print creates a spool request, visible in SP01 (all of them, with permission) or SP02 (your own). The status shows where it stopped: Waiting, Problem, Error or Completed.
5. The ticket: "can't print delivery notes from SAP at the warehouse"
Wednesday, 06:40, plant 9. The shipping shift can't print delivery notes and there are two lorries at the dock.
- One printer or all? If other warehouse printers print from SAP, the problem is that printer or its device.
- In SP01, filtering by device
AL09and the last hour: the requests are in Error, and the output request log says it can't connect to the printer host. - In SPAD (read only): device
AL09uses access methodUto10.9.20.45. - From the network:
Test-NetConnection 10.9.20.45 -Port 515WARNING: TCP connect to (10.9.20.45 : 515) failedTcpTestSucceeded : FalseGet-DhcpServerv4Lease -ComputerName srv-dhcp09 -ScopeId 10.9.20.0 | Where-Object HostName -like "*alm-exp*"IPAddress ClientId HostName AddressState--------- -------- -------- ------------10.9.20.88 00-1b-63-4a-7c-21 prn-alm-exp01 ActiveThe printer was replaced yesterday after a fault, the new one has a different MAC and DHCP gave it a different IP. SAP keeps sending to the old one.
- The IT fix: update the DHCP reservation with the new MAC so it goes back to
10.9.20.45, restart the printer and test the port. No need to touch SPAD. - Reprint: requests in error can be resent from SP01, or the user reprints the delivery notes from SAP (for example with VL71, output from deliveries) if their role allows it.
- If the new printer is a different model and prints strange characters, the device type no longer matches: that's escalated to the SAP team to change in SPAD.
A warehouse printer used by SAP has a reserved IP and a label with the SAP device name. That way the technician who replaces it knows there is more to it than plugging it in.
6. SM04, SM21 and when to escalate
If you have read access:
- SM04: users logged on to the current application server (AL08 for all servers). Useful to confirm whether a user has open or hung sessions.
- SM21: the system log. Useful to see whether, at the time of the problem, there were general errors (spool, database, communications) and not just for that user.
- SM12 (record locks) and ST22 (ABAP dumps): you look, you don't delete. Deleting an SM12 entry can leave a document half-posted.
| Escalate to the SAP team when | Information the ticket must carry |
|---|---|
| An authorisation is missing | SU53 screenshot, user, system and client |
| An output device is misconfigured | Device name, spool request and its log |
| A program dumps | Transaction, time and the ST22 identifier |
| Slow for everyone or down | Start time, affected plants and the network test done |
| Any change in production IT is not authorised for | What is requested and who requests it |
Next steps
- The Level 1 Printers guide covers the printer and print server side.
- The Jira Service Management guide helps set up the shared queue between IT and the SAP team.
- The Windows 10 and 11 guide is useful for packaging and distributing SAP GUI with the rest of the desktop.
- The Fortinet FortiGate guide explains the rules a remote plant needs to reach SAP.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →