Abfrage der Daten aus einem HCM-Personalstammdatensatz
AGS Security Services nutzen
Die Auswertung des Security Audit Logs erfolgt über die Transaktion SM20 bzw. SM20N oder den Report RSAU_SELECT_EVENTS. Wir empfehlen die Verwendung des Reports, da Sie hier mehr Möglichkeiten haben, um die Auswertung zu personalisieren und archivierte Logs verschiedener Anwendungsserver in die Auswertung einzubeziehen.
Mit diesen Informationen gewappnet, geht es an die Konzeptarbeit. Beschreiben Sie, welche Mitarbeitergruppen welcher Organisationseinheiten welche Applikationen nutzen, und legen Sie den Umfang der Nutzung fest. Nehmen Sie in der Beschreibung auf, für welche organisatorischen Zugriffe (Organisationsebenen, aber auch Kostenstellen, Organisationseinheiten usw.) die Organisationseinheit je Applikation berechtigt sein soll; bilden Sie also die Aufbauorganisation ab. Halten Sie unbedingt auch fest, welche zwingenden Funktionstrennungen zu berücksichtigen sind. Dadurch erhalten Sie eine recht detaillierte Beschreibung, die im Prinzip schon betriebswirtschaftliche Rollen (in Bezug auf das System) ausweist.
Risiko: historisch gewachsenen Berechtigungen
Sie müssen eine Nachrichtenklasse für die spätere Verwendung einrichten. Hierzu werden Sie beim ersten Aufruf der Transaktion GGB0 automatisch aufgefordert. Sollten einige relevante Felder des kompletten Belegs ausgeblendet sein, d. h. nicht zur Verfügung stehen, beachten Sie die Anleitungen im SAPHinweis 413956. Legen Sie eine Validierung in der Transaktion GGB0 an (z. B. GALILEO), und bestimmen Sie die Schritte der Validierung. Kopieren Sie bei der Anlage der Validierung das Programm RGGBR000 in Ihren Kundennamensraum und ersetzen Sie dabei die letzten drei Zeichen mit der Nummer des Mandanten, in dem die Prüfung durchgeführt werden soll. Weisen Sie anschließend Ihr neues kundeneigenes Programm mit der Transaktion GCX2 dem Arbeitsgebiet der Benutzer-Exit-Steuerung GBLR zu. Durch diese Zuordnung ist die Voraussetzung für mandantenabhängige User-Exits geschaffen. Sollten Sie einen mandantenunabhängigen User-Exit einrichten wollen, gehen Sie ebenso vor, nutzen aber die Transaktion GCX1.
Die kontextabhängigen Berechtigungen vereinen die allgemeinen und strukturellen Berechtigungen miteinander und vermeiden solche Situationen wie im oben genannten Beispiel. Die kontextabhängigen Berechtigungen sind so fein auseinandersteuerbar, dass eine Funktionstrennung lückenlos ermöglicht werden kann. Im Grunde werden bei den kontextabhängigen Berechtigungen die Berechtigungsobjekte durch strukturelle Berechtigungsprofile ergänzt. Dies führt dazu, dass Berechtigungen nicht mehr allgemein sondern nur noch für die Objekte des Berechtigungsprofil vergeben werden. Durch den Einsatz der kontextabhängigen Berechtigungen werden also die bekannten Berechtigungsobjekte P_ORGIN durch P_ORGINCON und P_ORGXX durch P_ORGXXCON ersetzt. In den neuen Berechtigungsobjekten ist dann ein Parameter für das Berechtigungsprofil enthalten.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Achten Sie immer darauf, dass Sie die aktuelle Version des Note Assistants nutzen.
Der überwiegende Teil deutscher Unternehmen mit einem SAP System setzt noch keine Berechtigungstools ein.