Aufgabe & Funktionsweise vom SAP Berechtigungskonzept
Fehlgeschlagene Berechtigungsprüfungen in der Transaktion SU53 zentral einsehen
Hier musste ich dann ebenfalls einen Moment suchen an welcher Stelle für SAP Keyuser und nicht nur für die SAP Basis im SAP System eine Berechtigung aufrufbar ist und mag dieses gerne zum Anlass nehmen um hier im Artikel ein paar Grundlagen zur "Anatomie" der SAP Berechtigungen schreiben. Für den Zugang zum SAP System ist als erstes eine SAP Benutzerkennung (User) erforderlich. Über die Benutzerpflege Transaktion SU01 (bzw. SU01D) können hier neben (Initial)passwort und Personendaten auch Rollen (aus denen Profile abgeleitet werden) zugeordnet werden.
Für jede Form der automatisierten Ableitung von Rollen sollten Sie zunächst eine Organisationsmatrix definieren, in der die organisatorischen Anforderungen abgebildet werden. Hierzu müssen Sie in strukturierter Form zu jeder Organisation Daten hinterlegen.
Vorteile von Berechtigungstools
Dank der neuen Funktion, die mit dem Support Package, das im SAP-Hinweis 1847663 genannt ist, ausgeliefert wird, ist es möglich, Tracedaten aus dem Berechtigungstrace bei der Vorschlagswertpflege in der Transaktion SU24 zu verwenden. Der Systemtrace, den Sie über die Transaktion ST01 oder die Transaktion STAUTHTRACE aufrufen können (lesen Sie hierzu auch Tipp 31, »Traceauswertung optimieren«), ist ein mandantenabhängiger Kurzzeittrace, den Sie auf Benutzer oder Anwendungen einschränken können.
Zusätzlich zu Ihren kundeneigenen Berechtigungsobjekten müssen Sie auch die anderen relevanten Berechtigungsobjekte für CO-PA in den Berechtigungen Ihrer Benutzer ausprägen. So müssen Sie in der Regel den Zugriff auf die Ergebnisberichte über das Objekt K_KEB_REP auf den Ergebnisbereich und den Berichtsnamen begrenzen und die Funktionen des Infosystems im Objekt K_KEB_TC einschränken, z. B. auf die Ausführung oder die Aktualisierung von Berichten. Für die Pflege der Berechtigungsobjekte im Customizing der Ergebnis- und Marktsegmentrechnung brauchen Sie ebenfalls Berechtigungen. Vergeben Sie dazu Berechtigungen für das Objekt K_KEPL_BER. Im Feld CEERKRS definieren Sie den Ergebnisbereich, für den Berechtigungsobjekte angelegt werden, und im Feld ACTVT definieren Sie die Aktivität, wobei die Aktivität 02 für Anlegen und Ändern steht.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Im Zuge dieses Prozesses sollten die zuständigen Fachbereiche die Vergabe der jeweiligen Rollen an Benutzer in ihrem Bereich überprüfen und noch einmal kritisch hinterfragen.
Ein für unser Beispiel gültiger Auswertungsweg ist US_ACTGR.