Optimierung der SAP-Lizenzen durch Analyse der Tätigkeiten Ihrer SAP-User
Vorschlagswerte unter der Zuhilfenahme von Traceauswertungen pflegen
Nachdem Sie die Daten für die Webseite ermittelt haben, müssen Sie nun das Initialpasswort generieren und per E-Mail verschicken sowie gegebenenfalls den Benutzer entsperren. Dafür gibt es ebenfalls unterschiedliche Lösungen – wir beschreiben eine mögliche Vorgehensweise. Die Generierung eines Passworts können Sie über den Importparameter GENERATE_PWD des BAPIs BAPI_USER_CHANGE veranlassen. Das generierte Passwort wird dann als Initialpasswort gesetzt und muss bei der nächsten Anmeldung durch den Benutzer geändert werden. Außerdem müssen Sie den Importparameter PASSWORDX setzen, um eine Änderung am Passwort anzuzeigen. Über den Exportparameter GENERATED_PASSWORD wird das generierte Passwort zurückgegeben. Dies ist erforderlich, wenn Sie das BAPI BAPI_USER_CHANGE aus einem zentralen System (z. B. aus der ZBV) aufrufen und die betreffende E-Mail aus diesem System verschicken wollen. Sie sollten dieses Passwort niemals speichern, sondern es direkt in Ihrer Anwendung in eine E-Mail einbinden. Anschließend verschicken Sie diese E-Mail an den Benutzer, dessen E-Mail-Adresse Sie entweder direkt im SAP-System ermitteln (Parameter ADDSMTP von BAPI_USER_GET_DETAIL) oder im Rahmen Ihrer Webanwendung (z. B. aus dem AD). Auch wenn Sie die E-Mail-Adresse im AD ermitteln, raten wir Ihnen davon ab, die E-Mail auch von dort aus zu versenden. Initiieren Sie den Versand lieber im Rahmen Ihres zentralen SAPSystems, um zu vermeiden dass das Passwort unnötig übertragen wird. Außerdem raten wir Ihnen dringend, die E-Mails mit den Initialpasswörtern verschlüsselt zu verschicken. Dazu muss die Implementierung Ihres Self-Services bei der Erstellung der E-Mail das Kennzeichen für die Verschlüsselung setzen. Details zur Verschlüsselung von E-Mails und einen alternativen Versand des Initialpassworts direkt aus dem betroffenen SAP-System beschreiben wir in Tipp 98, »E-Mails verschlüsseln«.
Die SAP Berechtigungsvorschlagswerte stellen die Grundlage bei der Rollenerstellung dar und gelten auch als Ausgangsbasis für das Berechtigungswesen seitens der SAP. Hierfür müssen die SU22 SAP Berechtigungsvorschlagswerte über die SU25 in die kundeneigenen Tabellen der SU24 transportiert werden. Zuvor sollte daher die Konsistenz der Vorschlagswerte mit Hilfe des Reports SU2X_CHECK_CONSISTENCY überprüft werden. Sollten Inkonsistenzen vorhanden sein, können diese mit Hilfe des Reports SU24_AUTO_REPAIR korrigiert werden. Detaillierte Informationen bezüglich der Vorgehensweise können dem SAP Hinweis 1539556 entnommen werden. Dadurch können Sie nicht nur Ihre SU24 Werte bereinigen, sondern gleichzeitig eine performante Ausgangslage für die Rollen- und Berechtigungsverwaltung erzielen.
Nach fehlenden Berechtigungen tracen
In den folgenden Ausführungen werden zunächst die einzelnen Komponenten des Berechtigungskonzepts beschrieben und eingeordnet. Anschließend wird erläutert, welche Aufgaben mit dem Profilgenerator automatisiert werden können.
Die Prüfung auf die Vergabe des Profils SAP_ALL erfolgt im SOS anders als im EWA: Wird ein Benutzer gefunden, dem SAP_ALL zugewiesen wurde und den Sie nicht in der entsprechenden Whitelist eingetragen haben, wird er trotzdem in den nachfolgenden Berechtigungsprüfungen ausgeblendet. Die Ausgabe der identifizierten Benutzer erfolgt entweder durch eine vollständige Liste oder durch Beispiele konkreter Benutzer. In beiden Fällen können Sie die vollständige Liste in der Transaktion ST14 des SAP Solution Managers herunterladen. Die Zuordnung der Benutzerlisten zu den Berechtigungsprüfungen können Sie über die Check-ID herstellen. Allerdings sollten Sie beachten, dass in diesen Listen die Auswertungen der Whitelists noch nicht enthalten sind.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Nun suchen Sie nach einem einfachen Weg, um Rollenzuordnungen zu löschen, bei denen der Gültigkeitszeitraum abgelaufen ist, bzw. um mehrfach vergebene Rollenzuordnungen aufzuräumen.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Diese sollten genau geprüft werden.