Berechtigungen in SAP SuccessFactors: Wie Unternehmen auch bei mehreren Implementierungen & Verantwortlichen den Überblick behalten und DSGVO konform agieren
Abfrage der Daten aus einem HCM-Personalstammdatensatz
Die voreingestellten Berechtigungsrollen des neuen SAP-Systems für die Konsolidierung und Planung, SAP Group Reporting,sind in der folgenden Grafik dargestellt. Hierbei ist es nicht entscheidend, ob der Zugriff auf das System über den Browser (Fiori Launchpad) oder über den lokalen Zugang (SAP GUI) erfolgt. Die in der Grafik dargestellten Berechtigungsrollen zeigen lediglich die durch SAP voreingestellten technischen Spezifikationen. Allerdings können diese als Aufsatzpunkt genutzt und nach der Erstellung einer Kopie entsprechend angepasst werden.
Eine Massenanlage von Rollen für einen Roll-out ist eine sehr nützliche Sache. Dabei kann man durchaus auch Excel-basierte Daten verwenden – so wie beim skizzierten Anwendungsfall mit eCATT – da es sich für die betrachteten Rollen um eine einmalige Aktion handelt und im Hintergrund SAP-Standardprogramme verwendet werden. Eine andauernde Pflege des Berechtigungswesens mit fortwährenden Änderungen von Rollen und deren Detailberechtigungen erfordert jedoch die Abbildung wesentlich komplexerer Vorgänge. Eine ausschließliche Steuerung über Office-Programme sollte gut überlegt sein. Dies bedeutet natürlich nicht, dass es nicht auch sehr gute Partnerprodukte für die Pflege von Rollen gibt. Prüfen Sie sie einfach darauf, ob SAP-Standardverfahren verwendet werden und das Berechtigungswesen nach SAP-Best-Practices bewirtschaftet wird.
Fehlende Definition eines internen Kontroll-Systems (IKS)
Möchten Sie lediglich die Beschreibung der Rolle übersetzen, empfiehlt es sich, die Transaktion PFCG aufzuzeichnen und vor dem Durchlaufen des LSMW-Skripts die Quellsprache der Rolle mithilfe des Reports Z_ROLE_SET_MASTERLANG zu ändern. Den Report zum Ändern der Quellsprache erhalten Sie über den SAP-Hinweis 854311. Auf ähnliche Weise können Sie die Übersetzung auch mithilfe der Transaktion SECATT (Extended Computer Aided Test Tool, eCATT) anstelle der Transaktion LSMW durchführen. Des Weiteren ist eine Automatisierung mithilfe eines kundenspezifischen ABAP-Programms möglich. Hierzu sollten Sie sich die Tabelle AGR_TEXTS einmal genauer anschauen. Die Tabelle beinhaltet die verschiedenen Textbausteine in den verschiedenen Sprachen. Wir zeigen Ihnen hier einen Ausschnitt der Tabelle mit unserer Beispielrolle Z_SE63. Den Kurztexten wird in der Spalte LINE der Wert 00000 zugeordnet, und die Langtexte erhalten die Werte 00001 bis 0000x. Die Sprachschlüssel werden in der Spalte SPRAS angezeigt. Mithilfe eine ABAP-Programms lassen sich nun die Pendants für die Textfelder in der Zielsprache in die Felder der Tabellen schreiben.
Nachdem die funktionale Spezifikation abgenommen worden ist, kann man mit der Umsetzung begingen: Erstellen Sie dafür zuerst Ihr kundeneigenes Berechtigungsobjekt und implementieren Sie die dafür vorgesehene Berechtigungsprüfung. Im nächsten Schritt müssen Sie die Vorschlagswerte in der Transaktion SU24 für die jeweilige kundeneigene Transaktion pflegen. Rufen Sie hierzu Ihre eigens erstellte Transaktion auf, und weisen Sie die notwendigen Berechtigungsobjekte entweder manuell über den Button Objekt zu, oder verwenden Sie den Berechtigungs- oder Systemtrace zur Vergabe der Berechtigungen (siehe Tipp 40, »Den Berechtigungstrace zur Ermittlung von Vorschlagswerten für kundeneigene Berechtigungen verwenden«). Dabei müssen Sie die im kundeneigenen Coding verwendeten Berechtigungsobjekte hinterlegen. Pro Berechtigungsobjekt können Sie Feldwerte pflegen, die als Vorschlagswerte in den jeweiligen Rollen auftauchen. Nun müssen alle betroffenen Rollen angepasst werden. Ist der Abmischmodus für die Transaktion PFCG auf Ein gestellt (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«), werden alle PFCG-Rollen, die der jeweilige Transaktion im Rollenmenü zugewiesen werden, erkannt und können über die Transaktion SUPC neu abgemischt werden. Befindet sich die kundeneigene Transaktion noch nicht in den PFCG-Rollen, wird sie an dieser Stelle ergänzt, und die jeweilige PFCG-Rolle wird neu abgemischt.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Diese nur gelegentlich verwendeten Transaktionen könnten bei der Neukonzeption eines Berechtigungskonzepts schnell vergessen werden.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Erstellen Sie eine eigene Benutzergruppe für die Referenzbenutzer, um sie gegen die unbefugte Änderung von Rollen- oder Profilzuordnungen bzw. die unbefugte Löschung zu schützen.