Effizienter SAP-Rollout durch zentrale, tool-gestützte Verwaltung
Massenpflege von abgeleiteten Rollen vornehmen
Wenn es um die Vorbereitung auf den Wirtschaftsprüfer geht, sollte auf jeden Fall überprüft werden, ob sämtliche kritischen Berechtigungen, aber auch die wichtigen Parameter im SAP® korrekt vergeben bzw. eingerichtet sind. Die Vorgaben dafür sollten allesamt im schriftlich dokumentierten Berechtigungskonzept definiert sein und müssen mit diesem auch übereinstimmen. Gerade in diesem Zusammenhang ist es jedoch nicht immer einfach, alle wesentlichen Punkte mit den SAP®-Standardbordmitteln zu überprüfen. An dieser Stelle können die erfahrenen Prüfer der IBS Schreiber GmbH unterstützen.
Ein Anwender meldet sich, dass ihm ein Berechtigungsfehler angezeigt wird, obwohl Sie ihm die erforderlichen Berechtigungen erteilt haben. Dies könnte an einer fehlerhaften Pufferung der Berechtigungsdaten liegen. Obwohl einem Benutzer eine Rolle mit den korrekten Berechtigungsdaten zugeteilt wurde, wird diesem Benutzer ein Berechtigungsfehler aufgrund von fehlenden Berechtigungen angezeigt. Dies mag auf den ersten Blick überraschen, kann aber fast immer durch eine kurze Analyse behoben werden.
Nach fehlenden Berechtigungen tracen
Sie möchten bei der Anlage von Benutzern in der Transaktion SU01 bestimmte Felder aus einer Datenquelle automatisiert vorbelegen? Nutzen Sie dafür ein neues BAdI, für das wir ein Implementierungsbeispiel vorstellen. Wenn Sie in der Transaktion SU01 einen Benutzer in einem SAP-System anlegen, gibt es fast immer bereits Daten zu diesem Benutzer in anderen Systemen. Ein klassisches Beispiel sind Benutzerdaten im Active Directory oder die Personalstammdaten in SAP ERP HCM, die bereits im Rahmen der Einstellung von Mitarbeitern gepflegt werden. Liegen Benutzerdaten in mehreren Systemen vor, ist daher die automatische Erstellung eines Benutzers durch ein Identity-Management-System die erste Wahl, was im SAP Identity Management (ID Management) durch einen HR-Trigger gelöst ist. Das ID Management erkennt Änderungen, z. B. an Personalstammdaten, in SAP ERP HCM oder an Geschäftspartnern in SAP CRM und legt die entsprechenden Benutzer in Ihren Systemen an oder nimmt Änderungen und Deaktivierungen vor. Aber was, wenn Sie kein Identity-Management-System im Einsatz haben? Müssen Sie dann alle diese Daten abtippen? Nein – Sie können sie automatisiert vorbelegen. Nutzen Sie dafür ein Business Add-in (BAdI), mit dem Sie bereits bei der Anlage eines Benutzers in der Transaktion SU01 bestimmte Felder vorbelegen können.
Um die vielen Informationen zum Thema SAP - und auch anderen - in einer Wissensdatenbank zu speichern, eignet sich Scribble Papers.
DDIC: DDIC ist als einziger Benutzer während Installationen und Releasewechseln in der Lage, sich anzumelden bzw. Änderungen am ABAP Dictionary vorzunehmen. Außerdem wird er im Mandanten 000, z. B. für bestimmte Jobs oder Unicode-Umwandlungen, verwendet. DDIC existiert in allen Mandanten außer im Mandanten 066. Schutzmaßnahmen: Setzen Sie DDIC in allen Systemen (außer im Mandanten 000 wegen der Upgrade-Funktionen) auf den Benutzertyp System. Bei Bedarf können Sie ihn mithilfe des Notfallbenutzers wieder auf einen Dialogbenutzer umstellen. Ändern Sie das Passwort, ordnen Sie den Benutzer der Benutzergruppe SUPER zu, und protokollieren Sie ihn mit dem Security Audit Log.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Dies kann zu Berechtigungsfehlern, z. B. bei Schnittstellenbenutzern führen, wenn diesen das Profil SAP_ALL zugeordnet wurde.
Das System bildet die Schnittmenge (aus M1 und M2) der übereinstimmenden Organisationsobjekte von Benutzer und zu bearbeitendem Objekt.