Referenzbenutzer
Profit-Center-Berechtigungen in FI prüfen
Der SAP-Standard bietet verschiedene Möglichkeiten, um Aktivitäten aufzuzeichnen und massenhaft abzuspielen. Diese Werkzeuge sind allgemein für alle Operationen im SAP-System da, nicht nur für die Rollenpflege. Daher sind sie auch komplexer in der Bedienung, um möglichst flexibel alle denkbaren Einsatzszenarien abdecken zu können. Auch eCATT bildet hier keine Ausnahme, weswegen viele Anwender nach wie vor vor dessen Verwendung zurückschrecken. Wir können Ihnen aber aus Erfahrung sagen: Nach dem zweiten oder dritten Mal geht Ihnen die Erstellung der Testskripts so schnell von der Hand, dass Sie sich fragen werden, warum Sie es nicht schon immer so gemacht haben.
Aus dem Ergebnis der statistischen Nutzungsdaten können Sie ablesen, welche Transaktionen (ENTRY_ID) wie häufig (COUNTER) und von wie vielen verschiedenen Benutzern verwendet wurden. Aus dieser Information lassen sich verschiedene Anhaltspunkte ableiten. Transaktionen, die z. B. von einem Benutzer innerhalb von zwölf Monaten nur einmal verwendet wurden, könnten auf einen sehr privilegierten Benutzer oder aber auf den versehentlichen Aufruf einer Transaktion hindeuten, für die ein Benutzer Berechtigungen hat. Die künftige Zuordnung solcher Transaktionen im SAP-Rollenkonzept sollte dann kritisch hinterfragt werden. Demgegenüber sollten Sie Transaktionen mit einem hohen Nutzungsgrad und einem großen Benutzerkreis (z. B. mit mehr als zehn Benutzern) sinnvollerweise in einem SAP-Rollenkonzept berücksichtigen.
Ein Konzept für SAP-Berechtigungen beugt Systemfehlern und DSGVO-Verstößen vor
Die Änderungen, die durch das Einspielen des Hinweises bzw. durch ein Upgrade auf die genannten Support Packages entstehen, betreffen nicht nur das Profil SAP_ALL. Es bleibt zwar grundsätzlich weiterhin möglich, die Gesamtberechtigung für die Felder RFC_SYSID, RFC_CLIENT und RFC_USER zu vergeben; dies kann jedoch nur noch manuell in der Transaktion PFCG über die Dialogpflege der Felder erfolgen. In diesem Fall öffnet sich ein weiteres Dialogfenster, in dem auf das Sicherheitsrisiko hingewiesen wird. Dieses Fenster müssen Sie bestätigen. Aus dieser Umstellung des Verhaltens des Profils SAP_ALL folgt, dass sämtliche automatischen Methoden für die Übernahme der Gesamtberechtigung in den Feldern des Berechtigungsobjekts S_RFCACL nicht mehr zur Verfügung stehen.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Dafür eignet sich Scribble Papers ganz hervorragend.
Umfangreiche Berechtigungen für die Transaktionen SCC4 und SE06 sollten Sie nicht an interne und externe Revisoren vergeben, nur damit diese die Systemänderbarkeit einsehen können. Wir stellen Ihnen den Report vor, der zur Anzeige der Systemänderbarkeit nur die Berechtigungen erfordert, die ein Revisor üblicherweise hat. Es gibt verschiedene Personen, die die Einstellungen zur Systemänderbarkeit in Ihrem System aus bestimmten Gründen einsehen möchten. Dies können Mitarbeiter der internen Revision, Wirtschaftsprüfer oder auch Entwickler sein. Die Anzeige dieser Einstellungen, z. B. über die Transaktionen SCC4 oder SE06 ist an sich unkritisch; allerdings waren dafür bisher Berechtigungen notwendig, die dem soeben beschriebenen Personenkreis üblicherweise nicht zugeordnet werden. Seit SAP NetWeaver 7.0 gibt es alternativ einen Report, der die Einstellungen zur Systemänderbarkeit anzeigt. Dieser Report erfordert nur Anzeigeberechtigungen, die dem oben beschriebenen Personenkreis ohne Bedenken zugeordnet werden können. Die Anwendung dieses Reports und die erforderlichen Berechtigungen stellen wir Ihnen an dieser Stelle vor.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Durch das Einspielen des SAP-Hinweises 1723881 lösen Sie das dritte der genannten Probleme, weil die Aufzeichnung derselben Rolle auf verschiedenen Transportaufträgen verboten wird.
Dazu setzen Sie in der mandantenabhängigen Tabelle USR_CUST den Eintrag CHECK_MOVE_4_CNG_GRP auf YES.