Benutzer-und Berechtigungsverwaltung
SAP S/4HANA® Migrationsprüfung
Prüfen Sie, ob es für Ihr Release zu beachtende Korrekturempfehlungen gibt. Wir empfehlen Ihnen, vor der Ausführung der Transaktion SU25 den Korrekturreport SU24_AUTO_REPAIR auszuführen (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«). Führen Sie diesen Report gegebenenfalls schon im Altrelease aus, aber auf jeden Fall vor dem Import der neuen Vorschlagswerte. Nutzen Sie den Testmodus des Reports, um sich mögliche Korrekturen im Vorfeld anzuschauen. Um sicherzustellen, dass Sie mit Ihren Upgradearbeiten keine Informationen verlieren, können Sie außerdem die Daten der Transaktion SU24 über Schritt 3 (Transport der Kundentabellen) in die Transaktion SU25 in einen Transportauftrag schreiben und freigeben. Über diesen Weg wird ein Backup Ihrer SU24-Daten vorgenommen. Nun kann es mit den Upgradenacharbeiten losgehen. Achtung: Führen Sie dabei nicht Schritt 1 (Kundentabellen wurden initial befüllt) aus, denn damit werden die Kundentabellen USOBT_C und USOBX_C, d. h. die SU24-Daten, komplett mit den SAP-Vorschlagswerten überschrieben. Sie wollen Ihre SU24-Daten jedoch behalten und mit den Vorschlagswertänderungen für das neue Release ergänzen!
Damit Sie diesen Tabelleneintrag transportieren können, müssen Sie in der Transaktion SE09 in die Objektliste des Transportauftrags gehen und dort manuell einen Eintrag mit dem Objektschlüssel R3TR TABU KBEROBJ anlegen. Per Doppelklick gelangen Sie dann zum Pflegebild für die Schlüsselliste, in der Sie einen Eintrag mit * anlegen müssen. Dies bewirkt, dass alle Einträge der Tabelle KBEROBJ transportiert werden, die mit einem Leerzeichen beginnen. Anschließend müssen Sie noch das Feld RESPAREA zur Organisationsebene erheben. Folgen Sie dazu bitte der Anleitung in unserem Tipp 49, »Neue Organisationsebenen hinzufügen«. Wenn Sie mehr als eine Kostenstellen- oder Profit-Center-Hierarchie mit Vererbungslogik für die Berechtigungen nutzen, müssen Sie dies im Customizing der Kostenrechnungskreise über die Transaktion OKKP einstellen. Dort können Sie in den jahresunabhängigen Grunddaten entscheiden, welche Hierarchien Sie verwenden möchten. In den jahresabhängigen Grunddaten definieren Sie dann, welche Hierarchien pro Geschäftsjahr verwendet werden sollen. Sie können für die Kostenstellen und Profit-Center jeweils bis zu drei Hierarchien für die Berechtigungsvergabe nutzen.
Berechtigungen
Zwei weitere sehr wichtige Einstellungen sind die Aktivierung des Security Audit Logs und der Tabellenprotokollierung. Beide Parameter müssen aktiviert sein, um in weiterer Folge die Nachvollziehbarkeit auf Benutzer- aber auch auf Tabellenebene zu gewährleisten. Es sollte also überprüft werden, ob die Detaileinstellungen für das Security Audit Log gemäß den Unternehmensvorgaben eingerichtet sind und auf jeden Fall ausnahmslos alle Benutzer mit umfassenden Berechtigungen, wie z.B. SAP_ALL, vollständig von der Protokollierung umfasst sind.
Klare Berechtigungen an die Mitarbeiter zu vergeben, ist kein Zeichen von Misstrauen, sondern bietet einen hohen Schutz – sowohl für das Unternehmen als auch für die Mitarbeiter selbst. Durch die rollenspezifische Vergabe der SAP Berechtigungen erhält jeder Mitarbeiter entsprechend seiner Aufgabe Zugriff auf das System.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Das übliche Leerzeichen hat den Hexadezimalwert 20, aber es gibt alternative Leerzeichen (engl. Wide Spaces), die z. B. von doppelter Breite oder überhauptnicht als Zeichenabstand zu erkennen sind.
Ein Beispiel ist die Berechtigung “Debugging mit Replace“, zu der das Objekt S_DEVELOP mit den Werten ACTVT = 02 und OBJTYPE = DEBUG legitimiert und worüber sich Daten per Hauptspeicheränderung manipulieren lassen.