Vorschlagswerte unter der Zuhilfenahme von Traceauswertungen pflegen
Servicebenutzer
Sie sollten alle Belegarten in denselben Zeitintervallen archivieren; dies gilt besonders für die Archivobjekte US_USER und US_PASS. Üblich ist es, die Änderungsbelege zwischen zwölf und achtzehn Monate aufzubewahren, da dies den Aufbewahrungsfristen für die Revision entspricht. Wollen Sie aus Performancegründen in kürzeren Intervallen archivieren, sollten Sie immer alle Archivobjekte zeitgleich archivieren und die Archivobjektklassen PFCG und IDENTITY in separaten Archiven ablegen. In diesem Fall ist es unter Umständen sinnvoll, die archivierten Änderungsbelege in eine Schattendatenbank zurückzuladen, um sie zur schnelleren Auswertung durch die Revision zur Verfügung zu stellen. Dazu können Sie die folgenden Reports nutzen: RSUSR_LOAD_FROM_ARCH_PROF_AUTH / RSUSR_LOAD_FROM_ARCHIVE. Mit dem Archivobjekt BC_DBLOGS können Sie zusätzlich die Tabellenänderungsprotokolle archivieren.
Wenn Sie Ihre SAP-Systemlandschaft über die Zentrale Benutzerverwaltung (ZBV) verwalten, müssen Sie den SAP-Hinweis 1663177 sowohl in das ZBV-System als in alle angeschlossenen Tochtersysteme einspielen. Beachten Sie in diesem Fall auch, dass die Standardbenutzergruppe in den Tochtersystemen zugeordnet wird, wenn bei der Anlage des Benutzers aus der ZBV keine Benutzergruppe verteilt wurde. Zusätzlich erhalten Sie in der Transaktion SCUL eine Fehlermeldung, die besagt, dass dem Benutzer (über die ZBV-Zentrale) eine Benutzergruppe zugeordnet werden muss. Dieses Verhalten ist unabhängig von den Einstellungen der Verteilungsparameter für die Benutzergruppe in der Transaktion SCUM. Sollten Sie die Verteilungsparameter für die Benutzergruppe auf Global oder Rückverteilung eingestellt haben, weist das entsprechende Tochtersystem die Änderungen an Benutzern, die im Zentralsystem über keine Benutzergruppe verfügen, ab, und Sie erhalten eine Fehlermeldung in der Transaktion SCUL.
Berechtigungsprüfungen
In unserem Beispiel meldet sich der Endanwender in einem SCM-System an, kann von hier aus aber auch ERP-Transaktionen aufrufen. Um diese ERPTransaktionen in SAP SCM verfügbar zu haben, legen Sie eine neue PFCGEinzelrolle in SAP SCM an, z. B. ZS:XXXX:ERP_MENU. Die ERP-Transaktionen, auf die der Benutzer Zugriff haben soll, fügen Sie dem Rollenmenü über die Option Übernahme von Menüs > Aus anderer Rolle > Zielsystem hinzu. Wählen Sie nun das entsprechende ERP-System und anschließend die entsprechende PFCG-Rolle aus SAP ERP aus. Für diese »Menürolle« benötigen Sie kein Profil, da diese Rolle nur das ERP-Menü beinhaltet. Die Anordnung der Transaktionen können Sie nun im Bereich Hierarchie über Drag & Drop oder über die Pfeiltasten so sortieren, wie Sie sie im NWBC benötigen.
Zusätzliche Berechtigungsprüfung auf das Berechtigungsobjekt S_RZL_ADM: Aus Sicherheitsgründen erfolgt eine zusätzliche Berechtigungsprüfung auf das Berechtigungsobjekt S_RZL_ADM für spezielle Dateien vom Typ PSE (Personal Security Environment) mit der Zugriffsart 01 (Anlegen). Es handelt sich um Dateien mit den Namen *.pse und cred_v2. Diese Dateien werden für Single Sign-on, Verschlüsselung und digitale Signaturen benötigt. Gepflegt werden sie mithilfe der Transaktion STRUST und der Transaktion STRUSTSSO2, die dieselbe Berechtigung verlangen (Details hierzu finden Sie im SAP-Hinweis 1497104).
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Dazu gehören auch die Berechtigung für die generischen OP-Links.
Über die Spalte Aktiv/Inaktiv erkennen Sie, ob die jeweilige Berechtigung deaktiviert wurde.