Rollenpflege im Betrieb
Werte aus der Zwischenablage in die Berechtigungsfelder der Transaktion PFCG kopieren
Vereinfachen Sie Ihr Berechtigungskonzept nicht, bevor Sie alle Anforderungen kennen, sondern fragen Sie sich erst, was es zu erreichen gilt. Analysieren Sie also zunächst die Prozesse (wenn möglich auch technisch), und schaffen Sie erst dann ein Konzept. Viele Berechtigungskonzepte, die wir bei Kunden vorfanden, waren nicht dazu geeignet, den Anforderungen gerecht zu werden. Teilweise handelte es sich um »gewachsene« Berechtigungskonzepte (d. h., dass immer wieder Anforderungen hinzukamen) oder um gekaufte Berechtigungskonzepte. Vielen dieser Konzepte war gemeinsam, dass sie nicht einfach, sondern zu stark vereinfacht worden waren. Ein schönes Beispiel sind Berechtigungskonzepte, die alle Organisationsebenen in Werterollen oder Organisationsrollen zusammenfassen. Es gibt wenige Beispiele, wie z. B. den Rollenmanager der Branchenlösung SAP for Defense and Security, in denen das Ergebnis eines Werterollenkonzepts für den Benutzer noch sinnvoll und angemessen ist. Die Annahme, dass man »mal eben« alle Berechtigungsobjekte separiert, die eine Organisationsebene enthalten, ist zwar einfach, aber eben nicht sinnvoll. Die Vereinfachung, dass nur ein Benutzer ohne Berechtigungen definitiv keine rechtswidrigen Berechtigungen haben kann, haben wir in der Praxis nicht vorgefunden. Allerdings gab es immer wieder den Fall, dass Benutzer viel zu viele Berechtigungen besaßen und das System damit nicht mehr rechtskonform war.
Das Berechtigungsobjekt P_ABAP (HR-Reporting) ist für die Ausführung von Berichten nicht erforderlich, sondern soll vielmehr die Performance bei der Ausführung verbessern. Zusätzlich kann es genutzt werden, wenn in Reports Berechtigungen für Infotypen erforderlich sind, die der Anwender in anderen Fällen aber nicht erhalten soll, was häufiger vorkommt. So ist für die Ausführung der Berichte der Reisekostenabrechnung auch die Anzeigeberechtigung für den Infotyp 0008 (Basisbezüge) erforderlich. Auch die Zahlungsträgerprogramme des Rechnungswesens benötigen P_ABAP-Berechtigungen für die Verarbeitung personenbezogener Daten.
SAP Security Automation
Seit Release 4.6D legt das System beim Neuaufbau eines Sammelrollenmenüs auf der ersten Hierarchieebene für jede in der Sammelrolle enthaltene Einzelrolle einen neuen Ordner an, in dem sich dann erst das entsprechende Menü befindet. Sie können dabei entscheiden, ob der Text jedes Ordners aus dem technischen Namen oder dem Kurztext der Rolle bestehen soll. Diese Funktion kann über das Customizing abgeschaltet werden.
Wenn Sie Ihre Kriterien für die Ausführung des Reports festgelegt haben, können Sie verschiedene Varianten für den Report anlegen und entsprechende Jobs einplanen, um die inaktiven Benutzer automatisiert zu sperren bzw. für ungültig zu setzen. Sollten Sie den Report in einem System starten, das an eine Zentrale Benutzerverwaltung angeschlossen ist, müssen Sie die folgenden Punkte beachten: Sie können nur lokale Benutzersperren setzen. Sie können den Gültigkeitszeitraum nur setzen, falls die Pflege dafür in den Einstellungen der Zentralen Benutzerverwaltung auf Lokal eingestellt ist (diese Einstellung erfolgt in der Transaktion SCUM).
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Öffnen Sie den Verwendungsnachweis über den Button, und ein Pop-up-Fenster für die Abfrage von Verwendungsformen (z. B. die Verwendung des betroffenen Berechtigungsobjekts in Programmen oder Klassen) erscheint.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Solche Berechtigungsprobleme führen in vielen Fällen zu einer versteckten Compliance-Verletzung, denn dadurch ist die Nachvollziehbarkeit von Benutzeraktionen im SAP-System nicht mehr gewährleistet.