Berechtigungen
Den Verantwortungsbereich RESPAREA zur Organisationsebene machen
Der nächste Schritt ist nun die Pflege der Berechtigungswerte. Auch hier können Sie sich die Werte des Berechtigungstrace zunutze machen. Wenn Sie aus dem Rollenmenü auf die Registerkarte Berechtigungen wechseln, werden Startberechtigungen für alle im Rollenmenü enthaltenen Anwendungen generiert und Standardberechtigungen aus den Berechtigungsvorschlägen angezeigt. Sie können diese Vorschlagswerte nun mit den Tracedaten ergänzen, indem Sie in der Button-Leiste auf den Button Trace klicken.
Um nun die Tracedaten aus der Tabelle USOB_AUTHVALTRC zu verwenden, gehen Sie erst in den Änderungsmodus und klicken anschließend entweder auf den Button SAP-Daten, oder Sie wählen Objekt > Objekte aus Trace hinzufügen > Lokal. Die gefundenen Berechtigungsobjekte werden aus der Tabelle importiert, sind aber noch mit keinerlei Vorschlagswerten versehen. Zur Pflege der Vorschlagswerte klicken Sie auf den Button Trace. Im sich daraufhin öffnenden Fenster selektieren Sie nach einem der neuen Berechtigungsobjekte und wählen anschließend Trace auswerten > Berechtigungstrace > Lokal. Es werden nun die geprüften Berechtigungswerte angezeigt. Zur Übernahme dieser Werte wählen Sie in der Auswahlliste Vorschlagsstatus die Option Y Ja aus und markieren im rechten Bereich des Fensters die gewünschten Werte. Klicken Sie dann auf Übernehmen. Nach der Bestätigung Ihrer Eingaben bestätigen Sie in der Berechtigungsvorschlagswertepflege die Berechtigungsfeldpflege mit einem Klick auf das grüne Häkchen, sodass der Status des Berechtigungsobjekts auf grün (gepflegt) steht. Fahren Sie ebenso mit weiteren Berechtigungsobjekten fort.
Bereits enthaltene Berechtigungsobjekte
Die Prüfung auf die Vergabe des Profils SAP_ALL erfolgt im SOS anders als im EWA: Wird ein Benutzer gefunden, dem SAP_ALL zugewiesen wurde und den Sie nicht in der entsprechenden Whitelist eingetragen haben, wird er trotzdem in den nachfolgenden Berechtigungsprüfungen ausgeblendet. Die Ausgabe der identifizierten Benutzer erfolgt entweder durch eine vollständige Liste oder durch Beispiele konkreter Benutzer. In beiden Fällen können Sie die vollständige Liste in der Transaktion ST14 des SAP Solution Managers herunterladen. Die Zuordnung der Benutzerlisten zu den Berechtigungsprüfungen können Sie über die Check-ID herstellen. Allerdings sollten Sie beachten, dass in diesen Listen die Auswertungen der Whitelists noch nicht enthalten sind.
Stellen Sie zunächst Ihre Aufbauorganisation dar. Bilden Sie (gegebenenfalls zunächst nur auf der generischen Ebene von Applikationen wie MM oder CO) über die Aufbauorganisation hinweg die betriebswirtschaftlichen Prozesse ab. Ermitteln Sie auf dieser Grundlage, welche organisatorischen Merkmale (Organisationsebenen, aber auch Kostenstellen, Organisationseinheiten usw.) welche Teile der Aufbauorganisation repräsentieren. Definieren Sie (gegebenenfalls zunächst nur im Rechnungswesen detailliert, ansonsten auf der Ebene von Applikationen), welche Funktionen zwingend getrennt bleiben müssen. Sofern Sie ein laufendes System haben, werten Sie die Verwendung der letzten 13 Monate aus (siehe Tipp 26, »Nutzungsdaten für die Rollendefinition verwenden«). Setzen Sie ein neues System auf, und sorgen Sie am besten dafür, dass die Prozesse immer bis hin zur Ebene der Transaktionen dokumentiert sind. In solch einem Fall ist es auch am besten, unmittelbar bei der Prozessbeschreibung die betriebswirtschaftlichen Risiken zu erheben.
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Die allgemeinen SAP Berechtigungen werden am häufigsten eingesetzt und für vieles reichen diese auch aus.
Haben Sie eigene Anwendungen erstellt, empfehlen wir Ihnen, dafür immer eine eigene Berechtigungsprüfung zu implementieren und sich nicht nur auf die Anwendungsstartberechtigungen wie S_TCODE, S_START, S_SERVICE und S_RFC zu verlassen.