Zu umfangreiche Berechtigungen beim HR-Reporting verhindern
Redesign der SAP® Berechtigungen
Im ersten Schritt müssen Sie ein IMG-Projekt erstellen. Sie haben die Möglichkeit, ein neues Projekt anzulegen oder ein bereits existierendes Projekt zu bearbeiten, um eine entsprechende Customizing-Rolle zu erzeugen. Rufen Sie dazu die Einstiegstransaktion für die Projektverwaltung des Customizings SPRO_ADMI, auf. Sollte kein passendes Projekt zur Verfügung stehen, können Sie sich die Liste der SAP-Customizing-Aktivitäten anzeigen lassen. Klicken Sie dazu auf den Button SAP Referenz-IMG, oder legen Sie ein neues Projekt an. Wählen Sie dazu den Button Projekt anlegen ( ) oder die (F5)-Taste. Es öffnet sich nun ein neues Fenster, in das Sie den Namen des Projekts eintragen. Beachten Sie, dass Ihnen maximal zehn Zeichen für den Namen zur Verfügung stehen. Nachdem Sie Ihre Eingabe bestätigt haben, öffnet sich ein neuer Bildschirm. Über die Registerkarte Allgemeine Daten legen Sie u. a. Benutzer, Projektleiter, Projektzeiten und die Sprache für die Informationstexte fest.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Die Freeware Scribble Papers ist ein "Zettelkasten", in dem sich Daten aller Art ablegen lassen. Er nimmt sowohl eingegebene Texte als auch Grafiken und ganze Dokumente auf. Die Daten werden in Ordnern und Seiten organisiert.
Mit dem SAP-Hinweis 1720401 wird die Transaktion SU10 (Massenpflege von Benutzern) um die bislang fehlende Möglichkeit erweitert, Benutzer nach Anmeldedatum und Passwortänderungen zu selektieren. Mit dem Hinweis wird der Report RSUSR200 um diese Funktionen ergänzt. Dieser Report kann mithilfe der Transaktion SU10 und der entsprechenden Berechtigung auch direkt ausgeführt werden. Nach dem Einspielen des Hinweises wird die Transaktion SU10 um den Button Anmeldedaten erweitert.
Berechtigungstools – Vorteile und Grenzen
Die Benutzer Ihrer Webanwendungen sollen Zugriff auf genau die Anwendungen erhalten, die ihrer jeweiligen Geschäftsrolle entsprechen. Mit dem Berechtigungsobjekt S_START können Sie diese Anforderung in den PFCG-Rollen abbilden. Anwendungen auf der Grundlage von SAP-Produkten bieten für den Nutzer unterschiedliche Zugangsmethoden, von denen die Verwendung von SAP GUI mit anwendungsbezogenen SAP-Transaktionen als »klassisch « zu nennen ist. Im Rahmen von Webanwendungen werden die Anwendungsoberflächen hingegen in einem Webbrowser abgebildet. Es sollen dabei nicht nur transaktionale Vorgänge, sondern auch die Anzeige von Ergebnissen aus Datenanalysen oder statische Fakten unterstützt werden. Das Modell der SAP-Transaktionen, bei denen der Zugriff über das Berechtigungsobjekt S_TCODE gesteuert wird, genügt diesen Anforderungen nicht.
Ob eine Transaktionsstartberechtigung beim Absprung erfolgen soll oder nicht können Sie in der Transaktion SE97 pflegen. Die Informationen in dieser Transaktion stammen aus der Tabelle TCDCOUPLES und werden mitgeliefert. Sie haben die Möglichkeit, die hier verzeichneten Vorschläge zu ändern bzw. zu ergänzen. Mit der Aktivierung des Berechtigungstrace über den Profilparameter auth/authorization_trace werden beim Aufruf der Anweisung CALL TRANSACTION weitere Transaktionscodepaarungen in die Tabelle TCDCOUPLES geschrieben. Das Prüfkennzeichen gibt an, ob eine Prüfung erfolgt. Standardmäßig ist es nach der Durchführung des Trace auf ungepflegt gesetzt. Setzen Sie das Prüfkennzeichen auf JA, wird die Transaktionsstartberechtigung mit dem Objekt S_TCODE durchgeführt. Gegebenenfalls werden außerdem weitere, über die Transaktion SE93 gepflegte Berechtigungen beim Aufruf der Transaktion geprüft.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Eine Übersicht der Profilparameter für das Security Audit Log finden Sie in der folgenden Tabelle.
Sicher haben Sie es auch schon einmal erlebt, dass ein Screenshot aus der Transaktion SU53 eine fehlende Berechtigung für typische Basisberechtigungsobjekte anzeigt, wie z. B. S_ADMI_FCD, S_CTS_ADMI oder S_TRANSLAT, von denen Sie aber wissen, dass ihre Prüfung mit dem eigentlichen Berechtigungsproblem in der Anwendung gar nichts zu tun hat.