Welche Herausforderungen können nicht allein mithilfe von Berechtigungstools gelöst werden?
Berechtigungsobjekte
Excel-basierte Werkzeuge, die nicht wie eCATT einfach die Transaktion PFCG im Hintergrund benutzen, funktionieren fast ausschließlich nach dem Einwegprinzip: Eine gleichzeitige Pflege von Rollen in der Transaktion PFCG ist nicht mehr möglich, und dortige Änderungen werden durch das Werkzeug überschrieben. Damit müssen alle Berechtigungsadministratoren ausschließlich mit der neuen Lösung arbeiten.
Die vier wichtigen Konzepte der SAP Security erfordern erst einmal einen gewissen Aufwand. Sie müssen nicht nur abgestimmt, ausformuliert und bereitgestellt, sondern eben auch fortlaufend aktualisiert und vor allem aktiv gelebt werden. Dennoch ist der Return of Investment groß, denn sie wappnen für alle Fälle, liefern Revisionssicherheit, außerdem ein hohes Schutzpotenzial fürs SAP-System und somit auch für das Unternehmen selbst.
Allgemeine Berechtigungen
Arbeiten Sie auch in einer komplexen Systemlandschaft, in der die Rollen dezentral gepflegt werden? Dann kann es durch den Transport von Profilen aus unterschiedlichen Systemen in ein Zielsystem zu Inkonsistenzen kommen. Wir zeigen Ihnen, wie Sie das verhindern. Bei dezentraler Pflege der Berechtigungsrollen, d. h. einer Pflege der Rollen in unterschiedlichen Systemen bzw. Mandanten, besteht das Risiko, dass sich die Nummernkreise für die Generierung von Berechtigungsprofilen überlappen. Sie können dann zu unterschiedlichen Rollen in unterschiedlichen Mandanten Profile mit gleichem Namen generieren. Sobald Sie diese gleichnamigen Berechtigungsprofile in ein gemeinsames Zielsystem transportieren, wird das bisherige Profil durch das neu importierte Profil überschrieben, und es entstehen Inkonsistenzen. In der Konsequenz kann es passieren, dass Sie beispielsweise einer ERP-Berechtigungsrolle ein SCMBerechtigungsprofil zuweisen. Dies kann dazu führen, dass ein Benutzer, dem die ERP-Rolle zugewiesen ist, nicht die benötigten oder sogar zu viele Berechtigungen erhält. Außerdem haben Sie ein Problem, falls Sie über das Berechtigungsprofil das Quellsystem und den Mandanten ermitteln wollen, in dem dieses Profil generiert wurde. Dies ist nicht möglich, wenn das erste und dritte Zeichen der SAP-System-ID (SID), und der Nummernkreis für die Generierung des Berechtigungsprofils übereinstimmen.
Geben Sie in der Transaktion SU01 eine noch nicht vorhandene Benutzer-ID ein, und klicken Sie auf den Button Anlegen ((F8)). Das BAdI BADI_IDENTITY_SU01_CREATE wird mit der neuen Benutzer-ID aufgerufen. Die Implementierung im BAdI wird ausgeführt. Hier können Sie z. B. zusätzliche Attribute zum neuen Benutzer aus einer externen Datenquelle lesen. Die innerhalb des BAdIs ermittelten Daten werden in die Felder der Transaktion SU01 geschrieben. Dort wird Ihnen der neue Benutzerstammsatz mit den vorbelegten Feldern angezeigt. Sie können den Benutzerstammsatz bearbeiten und z. B. Rollen zuordnen oder die vorbelegten Felder ändern.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Sie nutzen den Report RSUSR010, und Ihnen werden nicht alle dem Benutzer oder der Rolle zugeordneten Transaktionscodes angezeigt.
Auf ähnliche Weise können Sie die Übersetzung auch mithilfe der Transaktion SECATT (Extended Computer Aided Test Tool, eCATT) anstelle der Transaktion LSMW durchführen.