Rollenmassenpflege mithilfe von eCATT vornehmen
Das Berechtigungskonzept in der FIORI Oberfläche umsetzen
Das Ziel ist, dass SAP SuccessFactors-Anwender den Überblick über Rollen und Berechtigungen im System behalten. Analyse- und Reportingtools helfen dabei. Bei ABS Team nutzen wir eine eigene Kombination aus einer SAP SuccessFactors-Lösung und einer externen Dokumentation dafür. Wie die erste Grafik zeigt, baut unser Ansatz auf einem Delta-Konzept auf: alle SAP-Berechtigungen und Prozesse funktionieren unabhängig voneinander.
Sollen Ihre Benutzer ihre eigenen Hintergrundjobs freigeben dürfen, benötigen Sie dafür die Berechtigung JOBACTION = RELE zum Objekt S_BTCH_JOB. In diesem Fall dürfen sie alle Jobs zu einem gewünschten Zeitpunkt starten lassen. In vielen Fällen dienen Hintergrundjobs dem fachlichen oder technischen Betrieb der Anwendungen; daher empfehlen wir, diese Hintergrundjobs unter einem technischen Benutzer vom Typ System einzuplanen (sehen Sie auch Tipp 6, »Die Auswirkungen der Benutzertypen auf die Passwortregeln beachten«). Der Vorteil dabei ist, dass die Berechtigungen genauer gesteuert werden können und Sie nicht das Risiko eingehen, dass ein Job nicht mehr läuft, sollte der Benutzer, unter dem er eingeplant war, einmal Ihr Unternehmen verlassen. Die Zuordnung zu einem Systembenutzer können Sie realisieren, indem Sie dem Benutzer, der den Job einplant, eine Berechtigung für das Objekt S_BTCH_NAM erteilen. Im Feld BTCUNAME wird der Name des Step- Benutzers eingetragen, d. h. des Benutzers, unter dem der Job laufen soll, z. B. MUSTERMANN.
Berechtigungsprüfungen in SAP HANA verstehen
Die Berechtigungsprüfung für die Berechtigungsobjekte PS_RMPSORG und PS_RMPSOEH läuft im Anschluss an eine Benutzereingabe folgendermaßen ab: Das System ermittelt die Organisationseinheit, der der Benutzer zugeordnet ist. Von dieser Organisationseinheit ausgehend, erstellt das System eine Liste aller Organisationseinheiten, die der im ersten Schritt ermittelten Organisationseinheit in der Hierarchie übergeordnet sind. Das System ermittelt die Menge (M1) aller Organisationsobjekte, die diesen Organisationseinheiten zugeordnet sind. Das System ermittelt die Organisationseinheit, der das zu bearbeitende Objekt zugeordnet ist (entspricht der federführenden Organisationseinheit in den Attributen des zu bearbeitenden Objekts). Von dieser federführenden Organisationseinheit ausgehend, erstellt das System eine Liste aller Organisationseinheiten, die der ermittelten Organisationseinheit innerhalb der Hierarchie übergeordnet sind. Das System ermittelt die Menge (M2) aller Organisationsobjekte, die diesen Organisationseinheiten zugeordnet sind. Das System bildet die Schnittmenge (aus M1 und M2) der übereinstimmenden Organisationsobjekte von Benutzer und zu bearbeitendem Objekt. Das System ermittelt die Organisationsebenen, die für den Benutzer und das zu bearbeitende Objekt übereinstimmen. Sobald eine übereinstimmende Organisationsebene gefunden wird, führt das System die Berechtigungsprüfung für die anderen Felder des Berechtigungsobjekts (z. B. Art des Objekts oder Aktivität) aus; wenn das System keine gemeinsame Organisationsebene ermitteln kann, wird die Verarbeitung abgelehnt. Wenn der Benutzer die gewünschte Aktivität ausführen darf, ist die Verarbeitung erlaubt; andernfalls wird die Verarbeitung vom System abgelehnt.
Sie sollten daher eine kryptografische Authentifizierung und eine Verschlüsselung der Kommunikation erzwingen, indem Sie Secure Network Communication (SNC) einrichten. SNC bietet einen starken kryptografischen Authentifizierungsmechanismus, verschlüsselt die Datenübertragung und wahrt die Integrität der übertragenen Daten. Seit einiger Zeit ist SNC ohne einen SSOMechanismus (SSO = Single Sign-on) für SAP GUI und die RFC-Kommunikation aller SAP-NetWeaver-Kunden frei verfügbar. Sie sollten SNC immer zwischen SAP GUI und Anwendungsserver implementieren, da diese Kommunikation auch über offene Netze laufen kann. Für die RFC-Kommunikation brauchen Sie eine SNC-Implementierung, wenn Sie meinen, dass die Datenübertragung abgehört werden könnte.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Es sollte keine Referenzbenutzer mit Berechtigungen geben, die ähnlich umfangreich sind wie das Profil SAP_ALL.
SAP-Kunden pflegen Vorschlagswerte nicht in dieser Transaktion.