Berechtigungsrollen (Transaktion PFCG)
Berechtigungskonzepte – Vorteile und Architektur
Organisationsebenen sorgen für eine effizientere Pflege der Berechtigungsrollen. Sie pflegen sie einmalig in der Transaktion PFCG über den Button Orgebenen. Die Werte für jeden Eintrag dieses Feldes werden in den Berechtigungen der Rolle eingetragen. Dies bedeutet, dass Sie innerhalb einer Rolle immer nur die gleichen Werte für das Organisationsebenenfeld eintragen können. Ändern Sie die Werte der einzelnen Felder in den Berechtigungsobjekten unabhängig von der übergreifenden Pflege, erhalten Sie eine Warnmeldung, dass Sie dieses Feld nun nicht mehr über den Button Orgebenen verändern können und dass bei der Anpassung von abgeleiteten Rollen dieser individuelle Wert überschrieben wird. Daher raten wir Ihnen dringend davon ab, eine individuelle Pflege der Organisationsebenenfelder vorzunehmen. Wenn Sie sich an diesen Ratschlag halten, kann es, wie oben beschrieben, immer nur einen Wertebereich für ein Organisationsebenenfeld geben. So ist z. B. die Kombination aus der Anzeige aller Buchungskreise und der Änderung eines einzelnen Buchungskreises innerhalb einer Rolle nicht umzusetzen. Dies hat natürlich Auswirkungen, wenn Sie ein Feld in die Organisationsebene hochstufen möchten. Ein Feld, das bisher nicht als Organisationsebene fungierte, kann solche Einträge mit unterschiedlichen Werten innerhalb einer Rolle beinhalten. Diese Einträge müssen Sie bereinigen, bevor Sie ein Feld als Organisationsebene deklarieren. Zusätzlich wirkt sich die Definition eines Feldes als Organisationsebene auch auf die Berechtigungsvorschlagswerte des Profilgenerators aus.
WF-BATCH: Der Benutzer WF-BATCH dient der Hintergrundverarbeitung in SAP Business Workflow und wird beim Customizing von Workflows automatisch angelegt. WF-BATCH ist häufig das Profil SAP_ALL zugeordnet, da die genauen Anforderungen an die Berechtigungen von der Nutzung des Benutzers abhängig sind. Das Passwort des Benutzers können Sie über die Transaktion SWU3 setzen und synchronisieren. Schutzmaßnahmen: Ändern Sie nach der automatischen Generierung das Passwort des Benutzers, und ordnen Sie ihn der Benutzergruppe SUPER zu.
Favoriten der Benutzer zentral einsehen
Was in solchen Fällen fehlt, ist der Benutzerabgleich. Der Benutzerabgleich prüft, welche PFCG-Rollen einem Nutzer zugewiesen sind und weist ebenfalls die dazugehörigen Profile zu. Jede generierte PFCG-Rolle hat mindestens ein Profil, und der Anwender erhält seine Berechtigungen aus diesem Profil. Ist das Profil nicht zugewiesen bzw. veraltet, besitzt der Anwender auch nicht die darin enthaltenen Berechtigungen. Ähnlich verhält es sich mit Rollentransporten in ein Produktivsystem. Eine vorhandene und zugewiesene PFCG-Rolle wird im Entwicklungssystem geändert und durch die Systemlandschaft transportiert. Wird die PFCG-Rolle nun ins Produktivsystem transportiert, verfügen die der Rolle zugewiesenen Benutzer noch nicht über das aktuelle mittransportierte Profil. Hier muss erst ein Benutzerabgleich erfolgen, der sicherstellt, dass das aktualisierte Profil der geänderten PFCG-Rolle allen ihr zugewiesenen Anwendern zugeordnet wird.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Scribble Papers ist ein "Zettelkasten", mit dem das sehr einfach möglich ist.
Das Anwendungs-Log können Sie auch über die Transaktion SLG1 (Objekt ATAX) auswerten; die Ausgabe des Reports CA_TAXLOG scheint uns hier aber zweckmäßiger. Abschließend haben wir für Sie noch einige wichtige Informationen zusammengefasst: Es gibt einzelne Programme, die rein lesend genutzt werden können, jedoch auch Optionen für Updates auf der Datenbank bieten. In diesen Fällen wurde zusätzliche Logik implementiert (z. B. im SAP-Hinweis 925217 zum Programm RFUMSV00 für die Umsatzsteuervoranmeldung). Daten des Action Logs können über die Transaktion SLG2 (Objekt: ATAX) gelöscht werden (siehe dazu auch den SAP-Hinweis 530733). Wenn Sie das Customizing für die geschäftsjahresabhängigen Berechtigungen direkt im Produktivsystem pflegen wollen (sogenannte laufende Einstellung), beschreibt der SAP-Hinweis 782707, wie Sie dabei vorgehen müssen. Grundlegende Informationen zum Thema Laufende Einstellungen enthalten die SAP-Hinweise 135028 und 356483. SAP-Hinweis 788313 beschreibt detailliert die Funktionsbausteine der Zeitraumprüfung sowie der Zusatzprotokollierung und dient auch als »Kochbuch«, um diese in kundeneigenen Entwicklungen zu nutzen. Wie Sie den Zugriff auf das SAP-Menü verhindern und dem Benutzer ausschließlich das Benutzermenü anzeigen können, haben wir in Tipp 47, »Customizing der Benutzer- und Berechtigungsverwaltung einstellen«, beschrieben.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
So sind die Test- und Freigabeschritte je nach Kritikalität in unterschiedlichem Ausmaß durchzuführen und somit können sie bei Changes mit geringem Risiko eventuell sogar stark verkürzt werden.
Das Benutzerinformationssystem ist ein mächtiges Werkzeug, mit dessen Hilfe du diverse Auswertungen durchführen kannst: - In welchen Rollen ist die Transaktion ME23N enthalten? - Welche Transaktionen darf ein bestimmter Benutzer ausführen (siehe auch Report RSUSR010)? - Welche kundenindividuellen Berechtigungsobjekte gibt es im SAP-System? - Wie unterscheiden sich zwei Rollen (siehe auch Report RSUSR050)?