Was tun, wenn der Wirtschaftsprüfer kommt – Teil 1: Prozesse und Dokumentationen
Benutzergruppe als Pflichtfeld definierbar
Mit der Bestätigung des Dialogs wird sofort die Aufzeichnung gestartet; Sie landen daher in der Transaktion PFCG. Wir wollen die Anlage einer Einzelrolle aufzeichnen, die von einer Referenzrolle abgeleitet wird. Gehen Sie die entsprechenden Schritte in der Transaktion PFCG durch, und versuchen Sie, überflüssige Schritte zu vermeiden – denn jeder Schritt, den Sie durchführen, macht Ihre Aufzeichnung größer und unübersichtlicher. Geben Sie den Namen der abgeleiteten Rolle ein – diesen können wir später beim Abspielen mit eCATT beeinflussen – und legen Sie die Rolle an. Weisen Sie nun die Referenzrolle zu. Beachten Sie, dass die Transaktion PFCG wirklich ausgeführt wird, die Rolle also tatsächlich im System angelegt wird! Kontrollieren Sie zunächst in der Transaktion SCC4, ob die Ausführung von eCATT erlaubt ist. Starten Sie dann die Transaktion SECATT. Beim Einstieg können Sie Testskripte und Testkonfigurationen definieren und ändern. Erstellen Sie zunächst ein Testskript. Stellen Sie es sich als Blaupause vor oder als Ablaufvorschrift dazu, wie neue, abgeleitete Rollen erstellt werden. Das Testskript wird später Ihre Aufzeichnung enthalten. Geben Sie dem Skript einen sprechenden Namen, z. B. Z_MASSENERSTELLUNG_ABLEITUNGEN. Klicken Sie dann auf den Button Objekt anlegen. Sie gelangen nun zur Registerkarte Attribute, auf der Sie die allgemeinen Rahmendaten angeben. Wechseln Sie anschließend auf die Registerkarte Editor. Nun geht es zur Aufzeichnung, in der eCATT-Sprache Muster genannt. Klicken Sie auf den Button Muster, und geben Sie an, dass Sie die Transaktion PFCG aufzeichnen möchten, indem Sie die Einstellungen UIAnsteuerung und TCD (Record) wählen. Das System wird vorschlagen, die Schnittstelle dazu »PFCG_1« zu nennen; dies können Sie einfach bestätigen.
Es gibt vier verschiedene Möglichkeiten für die Benutzerverwaltung in SAP HANA, die wir Ihnen im Folgenden vorstellen. Zunächst einmal können Sie Benutzer mit dem SAP HANA Studio administrieren. Wir zeigen Ihnen hier ein Beispiel für die Pflege eines Benutzers. Im oberen Bereich können Sie die Authentifizierungsmethode des Benutzers festlegen (Authentication). Neben der Authentifizierung via Benutzername und Passwort können Sie die Methoden Kerberos und SAML durch Anklicken der entsprechenden Optionen konfigurieren. Des Weiteren können Sie unter Session Client den Mandanten des SAP-Systems hinterlegen, in dem der Anwender arbeitet. Im unteren Bereich werden die Zuweisungen der Rollen und der verschiedenen Privilegtypen durchgeführt.
Testen der Berechtigung
Wir stellen Ihnen hier verschiedene Szenarien für den Prozess des Zurücksetzens von Passwörtern vor. In allen Szenarien wählt der Benutzer das System und den Mandanten, in denen ein Passwort zurückgesetzt werden soll, über eine Webseite aus. Es sollten nur Systeme und Mandanten angezeigt werden, in denen dieser Benutzer bereits existiert und eine Berechtigung zugewiesen hat. Anschließend wird ein Initialpasswort generiert und an die E-Mail-Adresse des Benutzers verschickt. Nur für den Fall, dass eine Benutzersperre durch Falschanmeldungen gesetzt ist, muss der Benutzer zusätzlich entsperrt werden. Bei einer Administratorsperre sollte der Benutzer entsprechend informiert werden. Bevor Sie den Self-Service implementieren, sollten Sie sich Gedanken über die in Ihren Systemen eingestellten Passwortregeln und den Einsatz von Sicherheitsrichtlinien machen. Denn über diese Einstellungen können Sie steuern, wie Passwörter in Ihren Systemen generiert werden. Wir empfehlen Ihnen, dazu die Erläuterungen in den Tipps 4, »Passwortparameter und gültige Zeichen für Passwörter einstellen«, und 5, »Sicherheitsrichtlinien für Benutzer definieren«, zu lesen.
Sie wissen, dass ein Ändern Ihrer SU24-Daten ein Abmischen der betreffenden Rollen mit sich bringt. Bisher mussten sich die Berechtigungsadministratoren die Rollen, z. B. aus der Transaktion SUIM, heraussuchen, um diese dann zu bearbeiten. Oft wird das erneute Abmischen der entsprechenden Rollen auch vergessen. Um zu gewährleisten, dass Sie direkt bei der Pflege der Daten in der Transaktion SU24 für die betreffenden Rollen den Abmischmodus einstellen können, ist die Funktion hier mit den jeweiligen Support Packages, benannt im SAP-Hinweis 1896191, bereitgestellt worden. Über die Korrektur werden die Buttons Abmischmodus für PFCG: Ein/Aus bzw. Rollen zur Verfügung gestellt. Die Funktion weist den Rollen den Abmischmodus zu, was Schritt 2c aus der Transaktion SU25 entspricht (siehe Tipp 43, »Berechtigungen nach einem Upgrade anpassen«). Diese Funktion können Sie über den Wert Y für den Parameter SU2X_SET_FORCE_MIX in der Tabelle PRGN_CUST aktivieren. Den Status des Abmischmodus können Sie über den Button Abmischmodus für PFCG: Ein/Aus abfragen. Standardmäßig ist diese Funktion ausgeschaltet. Mithilfe des Buttons Rollen (Verwendung in Einzelrollen) werden alle Rollen, die die ausgewählte Anwendung beinhalten, ermittelt und direkt in der Transaktion SU24 angezeigt. Sie erhalten eine Liste über alle abzugleichenden Rollen in der Transaktion SUPC über die Option Auch abzugleichende Rollen und können die Rollen nun schrittweise aktualisieren.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Bitte beachten Sie, dass in Abhängigkeit vom Ergebnis des Reports RSUSR003 eine System-Log-Meldung vom Typ E03 erzeugt wird.
Die Vorschlagswerte können Sie natürlich immer entsprechend Ihren Anforderungen anpassen.