Berechtigungskonzepte in SAP Systemen
CRM-Rollenkonzept im Zusammenhang mit externen Services umsetzen
Beim Abmischen von Rollen – sei es nach Upgradenacharbeiten oder bei Rollenmenüänderungen – werden Änderungen an den Berechtigungswerten vorgenommen. Diese Änderungen können Sie sich im Vorfeld als Simulation anzeigen lassen. Wie in Tipp 43, »Berechtigungen nach einem Upgrade anpassen«, beschrieben, erscheinen Administratoren so manche Upgradenacharbeiten wie eine Black Box. Sie klicken auf irgendwelche Buttons, und irgendetwas passiert mit den Berechtigungen in ihren Rollen. Wenn Sie z. B. Schritt 2c (Zu überprüfende Rollen) in der Transaktion SU25 aufrufen, werden alle Rollen mit einer roten Ampel markiert, bei denen ein Abmischen aufgrund der geänderten Daten aus der Transaktion SU24 notwendig ist. Sobald Sie eine dieser Rolle aufrufen und in die Berechtigungspflege einsteigen, ändern sich die Berechtigungswerte sofort. Anhand des Aktualisierungsstatus Alt, Neu oder Verändert erkennen Sie zwar, an welchen Stellen etwas geändert wurde, geänderte oder gelöschte Werte können hier jedoch nicht angezeigt werden. Ein einfaches Beispiel, um dieses Verhalten auch ohne Upgradeszenario nachzuspielen, ist das Ändern des Rollenmenüs. Löschen Sie aus einer Testrolle eine Transaktion, und mischen Sie diese Rolle neu ab. Sie wissen genau, dass nun bestimmte Berechtigungsobjekte verändert und andere sogar komplett entfernt worden sind, können aber nicht alle Änderungen auf der Werteebene nachvollziehen? Dank neuer Funktionen ist nun mit dieser Ungewissheit Schluss.
Bevor Sie die Systemempfehlungen einsetzen, empfehlen wir Ihnen die Implementierung der Korrekturen in den SAP-Hinweisen 1554475 und 1577059. Außerdem ist es erforderlich, dass die zu verwaltenden Systeme an den SAP Solution Manager angeschlossen sind und in der Transaktion SMSY einem produktiven System und einer SAP-Lösung zugeordnet wurden. Planen Sie dann in den Einstellungen der Systemempfehlungen einen Hintergrundjob ein, der die relevanten Informationen zu den angeschlossenen Systemen sammelt. Relevante Informationen sind Ihr Release- und Support- Package-Stand, sowie eingespielte SAP-Hinweise und deren Versionen. Über eine OSS-Verbindung des SAP Solution Managers, die Sie zuvor einrichten müssen, wird dann im SAP Global Support Backbone eine Berechnung durchgeführt, die die erforderlichen Hinweise ermittelt, d. h., dass im SAP Solution Manager selbst kaum Last durch die Berechnung entsteht. Für einen automatischen Abgleich des Sicherheitsstands Ihrer Systeme sollten Sie diese Berechnung ebenfalls als Hintergrundjob einplanen.
SAP-Berechtigungen – Eine gemeinsame Perspektive von Entwicklern und Beratern
Die Definition der kritischen Berechtigungen erfolgt in diesen Schritten: Wählen Sie auf dem Einstiegsbildschirm den Button Kritische Berechtigungen. Ihnen werden nun in der Dialogstruktur zwei Ordnerpaare angezeigt: – Varianten zu kritischen Berechtigungen > kritische Berechtigung – kritische Berechtigung > Berechtigungsdaten. Öffnen Sie im Änderungsmodus in der unteren Ordnerhierarchie mit einem Doppelklick den Ordner kritische Berechtigung, und wählen Sie anschließend Neue Einträge. Geben Sie nun im rechten Bildschirmbereich für die Felder ID Berechtigung, Text, Farbe und Transaktionscode die entsprechenden Daten ein. Speichern Sie Ihre Eingaben. Beim Speichern werden Sie nach einem Customizing- Auftrag gefragt. Geben Sie diesen entsprechend an. Markieren Sie den soeben angelegten Eintrag, und öffnen Sie per Doppelklick den Ordner Berechtigungsdaten, um die Berechtigungsdaten zu pflegen. Anschließend erstellen Sie eine Variante. Hierzu öffnen Sie mit einem Doppelklick den Ordner Varianten zu kritischen Berechtigungen und wählen Neue Einträge. Geben Sie nun den Namen und die Beschreibung der Variante ein, und speichern Sie Ihre Eingaben. Nun weisen Sie der Variante die Kennung der erstellten kritischen Berechtigung zu. Dazu markieren Sie die Variante, und anschließend gelangen Sie per Doppelklick in den Unterordner Varianten zu kritischen Berechtigungen > kritische Berechtigungen in der Eingabemaske. Klicken Sie nun auf Neue Einträge, und wählen Sie aus der Liste Ihre soeben erstellte Variante aus – in unserem Beispiel ZB01. Anschließend speichern Sie Ihre Eingaben. Abschließend können Sie Ihre Reportvariante mit kritischen Berechtigungen ausführen. Hierzu gehen Sie zurück auf den Einstiegsbildschirm des Reports RSUSR008_009_NEW und wählen im Bereich Name der Variante die Option für kritische Berechtigungen aus. Selektieren Sie nun mithilfe der Wertehilfe die soeben erstellte Variante, und führen Sie diese aus.
Öffnen Sie hierzu in der Transaktion SU24 die Anwendung, die Sie anpassen möchten. Um die fehlenden Vorschlagswerte zu pflegen, können Sie hier nun den Trace starten, indem Sie auf den Button Trace klicken. Sie können selbstverständlich auch den Systemtrace für Berechtigungen über die Transaktionen ST01 oder STAUTHRACE verwenden. Es öffnet sich ein neues Fenster. Klicken Sie hier auf den Button Trace auswerten, und wählen Sie Systemtrace (ST01) > Lokal. Im sich daraufhin öffnenden Fenster haben Sie nun die Gelegenheit, den Trace auf einen bestimmten Benutzer einzuschränken oder ihn auch direkt zu starten. Tragen Sie dafür einen Benutzer ein, der die Anwendung, die Sie aufzeichnen möchten, aufruft, und klicken Sie anschließend auf Trace einschalten. Nun können Sie in einem separaten Modus die Anwendung aufrufen und ausführen, die Sie anpassen möchten. Sobald Sie die Aktivitäten, deren Berechtigungsprüfungen Sie benötigen, ausgeführt haben, d. h. mit dem Trace fertig sind, kehren Sie zu Ihrer Anwendung in der Transaktion SU24 zurück und stoppen den Trace über den Button Trace ausschalten. Um die Auswertung vorzunehmen, klicken Sie nun auf Auswerten. Um die Tracedaten der jeweiligen Berechtigungsobjekte zu erhalten, wählen Sie im linken oberen Bereich in der Auswahlliste Berechtigungsobjekt das Berechtigungsobjekt aus, das Sie anpassen möchten.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Das Ziel ist, dass SAP SuccessFactors-Anwender den Überblick über Rollen und Berechtigungen im System behalten.
Wir empfehlen Ihnen, den Korrekturreport SU24_AUTO_REPAIR regelmäßig auszuführen.