Antwortzeit
SUM – der Software Update Manager, das relativ neue Tool zum „Fernsteuern“ der bekannten Update-Transaktionen von außerhalb des Systems, für ABAP und JAVA
Im Bereich der SAP Basis-Administration gibt es viele Aufgaben, welche in langen aber unregelmäßigen Abständen anfallen, wie beispielsweise das Anpassen der Systemänderbarkeit. Dadurch fehlt häufig das Know-How und es wird schnell zur nächsten Suchmaschine gegriffen, wo lange und teilweise unvollständige Foreneinträge die Suche nach dem richtigen Vorgehen noch mehr erschweren. Aus diesem Grund werde ich zukünftig regelmäßig wiederkehrende Aufgaben aus der SAP Basis-Administration für Sie in einfachen Tutorials festhalten. Den Start wird dieser Blogbeitrag zum Thema Systemänderbarkeit und Mandantensteuerung machen. Falls Sie direkt zu einer Schrittfür- Schritt-Anleitung springen wollen, scrollen Sie einfach nach ganz unten, dort habe ich alles einmal zusammengefasst. Systemänderbarkeit - Was ist das? Mit der Systemänderbarkeit lässt sich einstellen, welche Objekte des Repositories und des mandantenunabhängigen Customizings änderbar sind oder nicht. Repository-Objekte können zusätzlich noch weiter angepasst werden, und zwar in Bezug auf die Software-Komponente und den Namensraum. Sie können jeweils einstellen, ob ein Objekt änderbar, eingeschränkt änderbar oder nicht änderbar sein soll. Eingeschränkt änderbar heißt in diesem Zusammenhang, dass Repository- Objekte nur als nicht-Originale angelegt werden können (kleiner Hinweis: für Pakete ist die Einstellung "eingeschränkt änderbar" und "änderbar" identisch in der Funktion). Kommen wir nun zum direkten Vorgehen zur Umstellung der Systemänderbarkeit. Systemänderbarkeit ändern Als Vorbereitung sollten Sie abklären, wie lange die Änderbarkeit in Ihrem System stattfinden soll. Ich habe bei meinen Kunden die Erfahrung gemacht, dass es häufig gewünscht ist, das System für bestimmte Aufgaben aus den Fachbereichen nur zeitweise auf "änderbar" zu stellen. Sofern Sie dies organisiert haben, rufen Sie im 000-Mandanten die Transaktion SE06 auf und klicken Sie auf den Button "Systemänderbarkeit". Sollten Sie keine Berechtigungen für diese Transaktion haben, können Sie es alternativ entweder mit der Transaktion SE03 --> Systemänderbarkeit oder über die Transaktion SE09 -> Springen -> Transport Organizer Tools -> Systemänderbarkeit (unter "Administration") versuchen. Folgender Screenshot zeigt den Weg über die SE03: Hier können Sie je nach Anfrage die gewünschten Namensräume und Softwarekomponenten umstellen.
Besonders in größeren Unternehmen, die zudem mit mehreren Standorten in verschiedenen Ländern vertreten sind, ist es oft notwendig verschiedenen Mitarbeitern die gleichen Berechtigungen für unterschiedliche Organisationsebenen, wie beispielsweise Buchungskreise, zu vergeben. Um in solch einer Situation die Pflege sowie Wartung des Systems dennoch einfach zu gestalten, ist es sinnvoll auf das Vererbungsprinzip für SAP Berechtigungen zu setzen. Wie funktioniert das SAP Berechtigungsvererbung? Bei einer Vererbung geht es immer darum, dass ein Masterobjekt bestimmte Eigenschaften an ein abgeleitetes (Unter-)Objekt übergibt. Somit müssen diese Eigenschaften nicht mehrfach gepflegt werden. Zudem werden ebenfalss Änderungen am Masterobjekt direkt an die abgeleiteten Objekte weitergegeben. Auf diese Weise wird eine einfacherere Wartung ermöglicht und die Fehlerquote drastisch minimiert. Im Falle der SAP Berechtigungsvererbung werden die benötigten Berechtigungen in einer Ober- bzw. Masterrolle gebündelt. In den davon abgeleiteten Rollen müssen nur noch die Organisationsebenen gepflegt werden. Die Berechtigungen werden dabei automatisch aus der Masterrolle gezogen. Vererbung für SAP Berechtigungen anlegen Im Folgenden zeige ich Ihnen, wie Sie Vererbungen für SAP Berechtigungen erstellen und nutzen. Dafür sind nur zwei Schritte notwendig: das Anlegen einer Masterrolle und das Definieren von abgeleiteten Rollen. Schritt 1: Masterrolle anlegen Bei der Vererbung ist eine übergeordnete Rolle immer notwendig, da von dieser sämtliche Eigenschaften übernommen werden. Sollte diese Rolle, in der alle gemeinsamen Berechtigungen gebündelt sind, noch fehlen, liegt der erste Schritt im Anlegen dieser Masterrolle. Öffnen Sie dazu die Transaktion PFCG und geben Sie im Namensfeld die gewünschte Bezeichnung der Masterolle ein. Dabei bietet es sich an Master- und abgeleitete Rollen über Namenskonventionen zu kennzeichnen. Über den Button "Einzelrolle" legen Sie anschließend die gewünschte Rolle an. Im folgenden Beispiel erstelle ich die Masterolle "findepartment_r".
Checkpoints und Savepoints
Dies ist der Schlüssel zur Nutzung des Vereinfachungsplans von SAP. Seit der Freigabe von SAP HANA hat SAP daran gearbeitet, das System zu vereinfachen.
Diese Zugriffsmethode hängt ausschließlich von den Rechten ab, die dem Nutzer zugewiesen sind. Systemuser: Nutzer dieser Nutzergruppe sind vergleichbar mit SAP*. Sie fungieren im System als Administrator. Daher sollten sie schnellstmöglich deaktiviert / auf inaktiv gesetzt werden, sobald der Systembetrieb sichergestellt ist. Die Behebung dieses Sicherheitsrisikos sollte Ihnen noch aus dem SAP ERP Umfeld bekannt sein. In einem HANA-System gibt es Privilegien statt Berechtigungen. Der Unterschied besteht erst einmal in der Begrifflichkeit. Trotzdem werden die Berechtigungen auch anders zugeordnet (direkt / indirekt) über die Zuordnungen von Rollen. Diese sind somit Ansammlungen von Privilegien. Wie in älteren SAP-Systemen müssen die Systemuser deaktiviert werden und bestimmte Rollen die schon bestehen eingeschränkt werden. Im Vergleich zu einem SAP ERP System werden statt große Anwendungen kleine Apps berechtigt. Hier sollte auf jeden Fall auf eine individuelle Berechtigungsvergabe geachtet werden. Für die Nutzer sollte es selbstverständlich sein, sichere Passwortregeln implementiert zu haben. Einstellungen Eine Absicherung des Systems bringt auch die Absicherung der darunter liegenden Infrastruktur mit sich. Vom Netzwerk bis zum Betriebssystem des Hosts muss alles abgesichert werden. Bei der Betrachtung der Systemlandschaft fällt auf, dass die neue Technologie viele Verbindungen mit bringt, die abzusichern sind. Auch das SAP Gateway, welches für die Verbindung zwischen Backend und Frontend zuständig ist, ist ein Sicherheitsrisiko und muss betrachtet werden. Alle Sicherheitseinstellungen der bisherigen und zukünftigen Komponenten müssen auf HANA Kompatibilität validiert werden. Sichere Kommunikation der Verbindungen erhalten Sie dann, wenn Sie den Zugriff einschränken wo möglich. Verschlüsselung der Daten eines HANA Systems ist standardmäßig deaktiviert. Achten Sie darauf, dass sie sensiblen Daten trotzdem verschlüsseln. Vor allem Daten, die archiviert werden. Wenn ein Angriff auf Ihr System erfolgt, sollten forensische Analysen gefahren werden können, daher sollten Sie das Audit Log aktivieren. Darüber hinaus sollten nur wenig Nutzer Zugriff darauf haben.
Etliche Aufgaben im Bereich der SAP Basis können mit "Shortcut for SAP Systems" wesentlich erleichtert werden.
Die in der WHERE-Bedingung spezifizierten Felder sind die Schlüsselfelder der Tabelle.
Einige nützliche Tipps aus der Praxis zum Thema SAP Basis finden Sie auch auf der Seite www.sap-corner.de.
Auch dieses Bild erhebt keinen Anspruch auf Vollständigkeit in Bezug auf die dargestellten Komponenten.