Statistikdaten anderer Benutzer
Berechtigungen mit SAP Query analysieren und evaluieren
Alternativ können Sie diese Informationen aus der Transaktion SE93 heraus pflegen, indem Sie zunächst eine Transaktion auswählen. Anschließend wird Ihnen über den Menüpfad Hilfsmittel > Berechtigung für gerufene Transaktionen die Liste aller Transaktionen angezeigt, die aus dieser Transaktion heraus aufgerufen werden können. Mit der Implementierung des SAP-Hinweises 1870622 wird eine Funktionserweiterung für die Transaktion SE97 bereitgestellt. Unter anderem gibt es die neue Schaltfläche Modifikationsabgleich. Bisher sind Änderungen in der Transaktion SE97 durch Einspielen von Support Packages oder Upgrades überschrieben worden. Mit dem Modifikationsabgleich ist es nun möglich, Ihre Änderungen mit den Standardwerten abzugleichen.
Ergänze fehlende Modifikationsflags in SU24-Daten: Diese Funktion ergänzt das Modifikationsflag für die Einträge, die seit der letzten Ausführung von Schritt 2a in der Transaktion SU25 geändert wurden, d. h., bei denen ein Unterschied zu den SAP-Daten aus der Transaktion SU22 besteht. Das Flag wird somit im Nachhinein gesetzt, sodass keine kundeneigenen Daten versehentlich aufgrund von fehlenden Modifikationsflags mit Schritt 2a überschrieben werden.
Benutzerstammdaten
Diesen Rollen können Sie nun Transaktionen zuordnen. Die Erfahrung zeigt, dass Rollen applikationsspezifisch bleiben sollten und ferner eine Unterscheidung zwischen buchenden bzw. anlegenden, ändernden und lesenden Rollen sinnvoll ist. Es wird regelmäßig Transaktionen geben, die in mehreren Rollen verwendet werden. Die oft geforderte Redundanzfreiheit sollten Sie nicht zu hoch bewerten. Für kritische Transaktionen oder für Transaktionen, die Anteil an einem Funktionstrennungskonflikt haben, empfiehlt es sich aber, diese in einer eigenen Rolle vorzuhalten. Generell sollten Rollen nicht zu viele Transaktionen enthalten; kleinere Rollen sind einfacher zu warten und einfacher abzuleiten. Ihre Vergabe führt auch nicht so zügig zu dem Problem, dass Benutzer über zu viele Berechtigungen verfügen. Sofern Sie die notwendigen Funktionstrennungen gleich festhalten, haben Sie diese auch schon als Take-away vorbereitet.
Die konkreten Berechtigungsobjektausprägungen für SAP_NEW werden über die SAP-Komponente SAP_BASIS zur Verfügung gestellt. Deshalb ist ein SAP_NEW-Profil immer an ein konkretes Basisrelease gebunden. Verfahren Sie wie folgt: Mit der Transaktion SU02 entfernen Sie alle alten, einzelnen Profile aus dem zusammengesetzten Profil SAP_NEW, einschließlich des Profils, das zu dem Startrelease Ihres Upgrades gehört. Weisen Sie nun das reduzierte Berechtigungsprofil SAP_NEW allen Benutzern im Upgradevorbereitungssystem zu, sodass gewährleistet ist, dass alle Benutzer wie gewohnt arbeiten können. Dieser Schritt kann ausgelassen werden, wenn Sie eine andere Methode zur Identifizierung von fehlenden Berechtigungen verfolgen. Überprüfen Sie nun alle Berechtigungen in allen restlichen Profilen innerhalb des Sammelprofils SAP_NEW, die einen höheren Releasestand haben als das Upgradestartrelease der Softwarekomponente SAP_BASIS. Ordnen Sie alle benötigten Berechtigungen allen produktiv genutzten Rollen in Ihrem Berechtigungskonzept zu. Sie können dies für jedes Zwischenrelease einzeln durchführen. Im nächsten Schritt passen Sie die Berechtigungen in Ihren produktiv genutzten Rollen in der Transaktion PFCG an und entfernen anschließend die korrespondierenden Berechtigungen aus dem Profil SAP_NEW mithilfe der Transaktion SU02. Wiederholen Sie die Schritte 3 bis 4, bis das Berechtigungsprofil SAP_NEW leer ist. Arbeiten Sie während der Rollenanpassungsphase in einem Entwicklungssystem und transportieren Sie die getätigten Anpassungen Ihrer Berechtigungsrollen in Ihr Qualitätssicherungssystem. Nach erfolgreichem Abnahmetest transportieren Sie diese noch ins Produktivsystem. Nun können Sie das Profil SAP_NEW allen Benutzern entziehen. Anschließend können Sie mit der Rollennachbereitung im Rahmen des Releasewechsels in der Transaktion SU25 fortfahren (siehe auch Tipp 43, »Berechtigungen nach einem Upgrade anpassen«).
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Liegen Benutzerdaten in mehreren Systemen vor, ist daher die automatische Erstellung eines Benutzers durch ein Identity-Management-System die erste Wahl, was im SAP Identity Management (ID Management) durch einen HR-Trigger gelöst ist.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Die Kachel im Front-End benötigt hier entsprechende abhängige ausgeprägte Berechtigungen (Stichwort:SU24 Abgleich).