Berechtigungskonzept – Rezertifizierungsprozess
Kontextabhängige Berechtigungen
Grundsätzlich können alle Berechtigungsfelder in die Organisationsebene hochgestuft werden; es gibt allerdings technische Ausnahmen und Felder, bei denen dies nicht sinnvoll ist. Technisch sind die Felder ausgenommen, die im Kontext zur Prüfung der Startbarkeit einer Applikation stehen, also die Felder der Berechtigungsobjekte S_TCODE, S_START, S_USER_STA, S_SERVICE, S_RFC, S_PROGRAM und S_USER_VAL. Außerdem können Sie das Feld ACTVT nicht zur Organisationsebene erheben. Sinnvoll sind nur die Felder, die innerhalb einer Rolle mit einem Wertebereich belegt werden können. Dies muss natürlich übergreifend für das Berechtigungskonzept betrachtet werden. So sind Felder, die mehr als eine Bedeutung haben, wie z. B. die Berechtigungsgruppe (BEGRU) in der Materialwirtschaft nicht geeignet. Mit dem Report PFCG_ORGFIELD_CREATE können Sie ein Berechtigungsfeld als Organisationsebene definieren. Der Report trägt das Feld in die Tabelle USORG ein, ändert die Berechtigungsvorschlagswerte zu diesem Feld und geht alle Rollen durch, die eine Ausprägung zu dem Feld enthalten.
Durch die Korrektur im SAP-Hinweis 1692243 können Sie den Report nun auch in einer ZBV-Umgebung (Zentrale Benutzerverwaltung) nutzen; er ist also nicht mehr nur auf einzelne Mandanten beschränkt. Ist die Rollenzuordnung der ZBV in der Transaktion SCUM auf global eingestellt, ist es ausreichend, wenn die Korrektur im zentralen Mandanten eingespielt wird. Dann ist es jedoch auch nur möglich, den Report im zentralen Mandanten auszuführen. Des Weiteren haben Sie die Möglichkeit, die Tochtersysteme der ZBV über das Auswahlfeld Empfangssystem so auszuwählen, dass nur die Systeme berücksichtigt werden, in denen die Rollenzuordnung konsolidiert bzw. gelöscht werden soll. In der Ergebnisliste der konsolidierten Rollenzuordnung werden Ihnen nun in der Spalte ZBV-System die Tochtersysteme aufgelistet, bei denen eine Konsolidierung oder Löschung stattgefunden hat.
Vorteile von Berechtigungskonzepten
Mithilfe des SAP-Hinweises 1642106 ist es ab SAP NetWeaver AS ABAP 7.0 möglich, den Textabgleich automatisch durchführen zu lassen. Durch das Einspielen des Hinweises wird der Textabgleich bei allen Änderungen an PFCG-Rollen in das Zentralsystem automatisch durchgeführt. Wir empfehlen Ihnen, das für Ihr Release passende Support Package zu installieren, das im SAP-Hinweis angegeben ist, da das Einspielen des Hinweises aufwendiger manueller Arbeiten bedarf. Mithilfe des Reports SUSR_ZBV_GET_RECEIVER_PROFILES schalten Sie die neue Funktionalität in allen Tochtersystemen ein, in denen der Korrekturhinweis ebenfalls eingespielt wurde. Führen Sie den Report im Zentralsystem mit der Standardselektion aus, sind alle Tochtersysteme enthalten. Ob die Funktion in den Tochtersystemen vorhanden ist, können Sie im Protokoll des Reports prüfen.
Alle Konfigurationsmöglichkeiten zu beschreiben, würde den Umfang dieses Tipps sprengen. Sollten Sie Erläuterungen zu einem Customizing-Schalter benötigen, die hier nicht aufgeführt sind, suchen Sie nach dem relevanten Hinweis über die Tabelle SSM_CID. Alle hier beschrieben Einstellungen nehmen Sie über die Transaktion SM30 vor. Dabei müssen Sie berücksichtigen, dass alle Einstellungen in den Tabellen SSM_CUST, SSM_COL und PRGN_CUST mandantenunabhängig sind; nur die Einstellungen der Tabelle USR_CUST sind mandantenabhängig.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Zum einen die transaktionalen Kacheln, zum anderen die nativen oder analytischen Kacheln :
Die Prüfung auf S_PROGNAM MUSS erst im Kundensystem aktiviert werden.