Rollentyp
Berechtigungen in SAP-Systemen: worauf Admins achten sollten
Beim Abmischen von Rollen – sei es nach Upgradenacharbeiten oder bei Rollenmenüänderungen – werden Änderungen an den Berechtigungswerten vorgenommen. Diese Änderungen können Sie sich im Vorfeld als Simulation anzeigen lassen. Wie in Tipp 43, »Berechtigungen nach einem Upgrade anpassen«, beschrieben, erscheinen Administratoren so manche Upgradenacharbeiten wie eine Black Box. Sie klicken auf irgendwelche Buttons, und irgendetwas passiert mit den Berechtigungen in ihren Rollen. Wenn Sie z. B. Schritt 2c (Zu überprüfende Rollen) in der Transaktion SU25 aufrufen, werden alle Rollen mit einer roten Ampel markiert, bei denen ein Abmischen aufgrund der geänderten Daten aus der Transaktion SU24 notwendig ist. Sobald Sie eine dieser Rolle aufrufen und in die Berechtigungspflege einsteigen, ändern sich die Berechtigungswerte sofort. Anhand des Aktualisierungsstatus Alt, Neu oder Verändert erkennen Sie zwar, an welchen Stellen etwas geändert wurde, geänderte oder gelöschte Werte können hier jedoch nicht angezeigt werden. Ein einfaches Beispiel, um dieses Verhalten auch ohne Upgradeszenario nachzuspielen, ist das Ändern des Rollenmenüs. Löschen Sie aus einer Testrolle eine Transaktion, und mischen Sie diese Rolle neu ab. Sie wissen genau, dass nun bestimmte Berechtigungsobjekte verändert und andere sogar komplett entfernt worden sind, können aber nicht alle Änderungen auf der Werteebene nachvollziehen? Dank neuer Funktionen ist nun mit dieser Ungewissheit Schluss.
Aufgrund der geänderten Vorschlagswerte in der Transaktion SU24 müssen Sie nun Schritt 2c (zu überprüfende Rollen) ausführen, um alle von den geänderten Vorschlagswerten betroffenen Rollen zu aktualisieren. Die Rollenänderungen sind nur mandantenspezifisch! Sie erhalten eine Liste, die alle Rollen aufzeigt, die Sie abarbeiten müssen. Haben Sie mehr als einen Mandanten zur Pflege von Rollen, müssen Sie diesen Schritt auch in den anderen Mandanten ausführen.
Rollenmassenpflege mithilfe von eCATT vornehmen
Möchten Sie nun PFCG-Rollen indirekt Nutzern über das Organisationsmanagement zuordnen, müssen Sie dafür Auswertungswege verwenden. Auswertungswege definieren eine Kette von Beziehungen zwischen Objekten innerhalb einer Hierarchie. Sie definieren so z. B., dass eine Organisationseinheit oder eine Planstelle einer anderen Organisationseinheit zugordnet werden kann. Diese Beziehung wird bis hin zur Benutzer-ID festgelegt. Ist im Organisationsmanagement allerdings auch der Geschäftspartner gepflegt worden, gibt es für diesen Fall keinen Standardauswertungsweg, und der der Rolle zugeordnete Benutzer wird nicht gefunden. Da in SAP CRM aber die Benutzer-IDs nicht direkt einer Planstelle zugeordnet sind, sondern über den Geschäftspartner, müssen Sie Anpassungen an den Auswertungswegen vornehmen,bevor Sie die Rollen indirekt vergeben können.
In vielen SAP-Umgebungen gibt es historisch gewachsene Berechtigungsstrukturen, die unnötige Sicherheitslücken verursachen. Diese sollten genau geprüft werden.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Den Pflegestatus Manuell haben Sie vielleicht auch schon einmal gesehen.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Zusätzlich muss die SAP Cryptographic Library installiert sein; dies ist aber durch den erforderlichen Kernel-Patch sichergestellt.