Die Vergabe von kritischen Berechtigungen und Handhabung von kritischen Benutzern
Einführung & Best Practices
Sie möchten bei der Anlage von Benutzern in der Transaktion SU01 bestimmte Felder aus einer Datenquelle automatisiert vorbelegen? Nutzen Sie dafür ein neues BAdI, für das wir ein Implementierungsbeispiel vorstellen. Wenn Sie in der Transaktion SU01 einen Benutzer in einem SAP-System anlegen, gibt es fast immer bereits Daten zu diesem Benutzer in anderen Systemen. Ein klassisches Beispiel sind Benutzerdaten im Active Directory oder die Personalstammdaten in SAP ERP HCM, die bereits im Rahmen der Einstellung von Mitarbeitern gepflegt werden. Liegen Benutzerdaten in mehreren Systemen vor, ist daher die automatische Erstellung eines Benutzers durch ein Identity-Management-System die erste Wahl, was im SAP Identity Management (ID Management) durch einen HR-Trigger gelöst ist. Das ID Management erkennt Änderungen, z. B. an Personalstammdaten, in SAP ERP HCM oder an Geschäftspartnern in SAP CRM und legt die entsprechenden Benutzer in Ihren Systemen an oder nimmt Änderungen und Deaktivierungen vor. Aber was, wenn Sie kein Identity-Management-System im Einsatz haben? Müssen Sie dann alle diese Daten abtippen? Nein – Sie können sie automatisiert vorbelegen. Nutzen Sie dafür ein Business Add-in (BAdI), mit dem Sie bereits bei der Anlage eines Benutzers in der Transaktion SU01 bestimmte Felder vorbelegen können.
Das Rollenmenü der PFCG-Rolle besteht nun aus Ordnern, die alle logischen Links innerhalb einer Bereichsstartseite repräsentieren, und aus externen Services, die die logischen Links sowie die Bereichsstartseiten an sich repräsentieren. Das heißt, dass jeder im Rollenmenü aufgelistete externe Service für eine Bereichsstartseite bzw. einen logischen Link berechtigt. Wird ein solcher externer Service aus dem Rollenmenü entfernt und die PFCG-Rolle generiert, hat der Anwender dieser PFCG-Rolle keine Berechtigungen zum Ansehen dieses externen Services (siehe Abbildung nächste Seite). Sie werden doppelte, vielleicht sogar dreifache Einträge von externen Services finden. Diese sind hauptsächlich in den Ordnern der Homepage und unter GENERIC_OP_LINKS zu finden. Sie können sie ohne Bedenken löschen, da ein externer Service für eine Berechtigung nur einmal im Rollenmenü erscheinen muss. Zur besseren Übersicht ist es darüber hinaus sinnvoll, die externen Services bzw. Ordner so umzubenennen, wie diese auch im SAP CRM Web Client dargestellt sind.
Welche Vorteile haben SAP Berechtigungen?
Um in Notsituationen jederzeit vollumfänglich agieren zu können, ist ein SAP-Notfallbenutzer bereitzuhalten, der über alle Berechtigungen fürs gesamte SAP-System verfügt (typischerweise mittels Sammelprofil SAP_ALL). Das macht ihn allerdings nicht nur zu einer großen Hilfe, sondern gleichzeitig ausgesprochen gefährlich, sodass sein Einsatz über ein dediziertes Konzept genau zu regeln ist.
Ein typisches Einsatzgebiet ergibt sich bei der Anforderung eines neuen SAP-Benutzers. Der Dateneigentümer prüft nun, ob der Beantragende und die zu berechtigende Person überhaupt jeweils dafür befugt sind, welche Daten betroffen wären, ob evtl. bereits ein SAP-User besteht, dem neue Rollen zugeteilt und alte entzogen werden können, ob der Datenzugriff zeitlich begrenzt werden kann etc..
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Berechtigungsobjekte sollten immer im Vorfeld mit dem Nutzerkreis definiert werden und beziehen sich dann auf eine bestimmte Aktion innerhalb des Systems.
Hier können Sie im entsprechenden Feld den Benutzer auswählen, den Sie analysieren möchten.