Kritikalität
Auswertungswege in SAP CRM für eine indirekte Rollenzuordnung anpassen
Viele Werkzeuge, die anbieten, Pflegeoperationen der Transaktion PFCG zu vereinfachen, arbeiten Excel-basiert. Dabei werden die kompletten Rollendaten in Excel vorgehalten und dort bearbeitet. Anschließend wird die Excel-Datei mit einem speziellen Programm hochgeladen und generiert Rollen bzw. Rollenänderungen. Dies sieht zwar alles sehr bequem aus (und ist es vermutlich zunächst auch), hat aber langfristig seine Tücken.
Der hohe manuelle Pflegeaufwand von abgeleiteten Rollen bei organisatorischen Änderungen stört Sie? Nutzen Sie die in diesem Tipp vorgestellten Varianten für die Massenpflege von Rollenableitungen. Gerade in großen Unternehmen kommt es oft vor, dass z. B. für Buchhaltung, Vertrieb oder Einkauf ein weltweites, integriertes ERP-System genutzt wird. Die Zugriffe der verschiedenen Abteilungen müssen Sie dann jeweils einschränken, z. B. auf entsprechende Buchungskreise, Verkaufsorganisationen oder Einkauforganisationen. Im Berechtigungsumfeld können Sie in solchen Fällen mit Referenzrollen und Rollenableitungen arbeiten. Dies verringert Ihren administrativen Aufwand für die Pflege funktionaler Berechtigungen und reduziert den Pflegeaufwand für Rollenableitungen auf das Anpassen der sogenannten Organisationsfelder. Die Pflege der Organisationsfelder kann dennoch eine enorme manuelle Arbeit für Sie bedeuten, da die Anzahl der Rollenableitungen sehr groß werden kann. Hat Ihr Unternehmen beispielsweise 100 Vertriebsorganisationen und 20 Vertriebsrollen, haben Sie bereits 2.000 Rollenableitungen. Wir stellen Ihnen hier mögliche Ansätze dazu vor, wie Sie diesen manuellen Aufwand verringern können.
Allgemeine Betrachtungen
Wurde ein Eintrag in der Transaktion SE97 korrekt angelegt, wird eine Berechtigungsprüfung genauso durchgeführt, wie es bei einer Transaktionsstartberechtigung der Fall ist. Dieser Ansatz erfordert daher eine exakte und vollständige Konfiguration für jede Transaktion, die aufgerufen wird. Der erforderliche Aufwand und der Raum für Fehler sind entsprechend groß. Der ABAP-Befehl CALL TRANSACTION verursacht keine Transaktionsstartberechtigungprüfung. Ohne eine Berechtigungsprüfung könnte das ABAP-Programm Benutzern ungewollt Zugriff auf Systemressourcen erlauben. Solche Berechtigungsprobleme führen in vielen Fällen zu einer versteckten Compliance-Verletzung, denn dadurch ist die Nachvollziehbarkeit von Benutzeraktionen im SAP-System nicht mehr gewährleistet. Ein Entwickler sollte sich nicht auf die Funktionalität der Transaktion SE97 verlassen und deshalb die möglichen Berechtigungsprüfungen auch im Programmcode einbauen. Daher muss eine der folgenden explizit codierten Berechtigungsprüfungen für die Anweisung CALL TRANSACTION erfolgen.
In der Transaktion SU22 pflegen die Entwickler einer Anwendung die Vorschlagswerte für alle benötigten Berechtigungsobjekte; dabei hilft der Berechtigungstrace. Wie in SAP-Hinweis 543164 beschrieben, wird über den dynamischen Profilparameter auth/authorization_trace der Trace mit dem Wert Y (aktiv) bzw. F (aktiv mit Filter) eingeschaltet. Mit dem Einspielen der SAP-Hinweise 1854561 bzw. des relevanten Support Packages aus SAP-Hinweis 1847663 ist es möglich, einen Filter für diesen Trace über die Transaktion STUSOBTRACE zu definieren, den Sie anhand der Kriterien Typ der Anwendung, Berechtigungsobjekte oder Benutzer einschränken können.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Öffnen Sie die Daten mit Microsoft Excel, und stellen Sie Ihre Zielwerteliste ein.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Sobald diese verfügbar sind, werden sie im SAP-Hinweis 1856125 aufgeführt.