Berechtigungen in SAP-Systemen: worauf Admins achten sollten
Bei den Namenskonventionen für PFCG-Rollen von Best Practices profitieren
In der Transaktion SU25 sind neben den Upgradetätigkeiten noch weitere Anpassungsmöglichkeiten aufgeführt. Unter dem Punkt Anpassung der Berechtigungsprüfungen (optional) sind die Transaktionen SU24 zur Vorschlagswertepflege, die Transaktion AUTH_SWITCH_OBJECTS zur globalen Ausschaltung von Berechtigungsobjekten sowie die Transaktion SE97 zur Pflege von Transaktionsstartberechtigungsprüfungen (siehe Tipp 76, »Transaktionsstartberechtigungen beim Aufruf CALL TRANSACTION pflegen«) aufgelistet. Im Abschnitt Manuelle Anpassung ausgewählter Rollen können Sie Rollen aus manuell erstellten Profilen erzeugen, SAP_NEW (siehe Tipp 64, »SAP_NEW richtig verwenden«) oder SAP_APP als Rolle generieren. Im Abschnitt Allgemeine Wartung für Vorschlagswerte sind die Reports SU2X_CHECK_WDY_HEADER zur Registrierung der Headerdaten für externe Services (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«) sowie SU2X_CHECK_CONSISTENCY zur Konzistenzprüfung (verfügbar über das in SAP-Hinweis 1646692 benannte Support Package) von Vorschlagswerten bezüglich der ausgewählten Berechtigungsobjekte verlinkt.
Eine universal anwendbare Vorlage für ein zuverlässiges und funktionierendes Berechtigungskonzept existiert aufgrund der Individualität und der unterschiedlichen Prozesse innerhalb jedes Unternehmens nicht. Im Rahmen der Erstellung müssen somit die Strukturen des Unternehmens und die relevanten Prozesse genau analysiert werden. Einige Kernelemente des zu erstellenden Berechtigungskonzepts können im Vorfeld definiert werden. Dazu gehören das übergeordnete Ziel, die rechtlichen Rahmenbedingungen, eine Namenskonvention, die Klärung von Verantwortlichkeiten und Prozessabläufen für das Benutzer- wie auch Berechtigungsmanagement sowie die Ergänzung durch Sonderberechtigungen. Nur mit klar definierten Verantwortlichkeiten wird die Wirksamkeit eines Konzepts gewährleistet.
Managed Services
Ein weiterer wichtiger Faktor, der in einem Berechtigungskonzept berücksichtigt werden sollte, besteht darin, eine einheitliche Namenskonvention zu verwenden, weil einerseits vieles nach der Erstbenennung nicht mehr änderbar ist und andererseits so die Suchbarkeit im SAP System sichergestellt wird. Zusätzlich sollten die voreingestellten Berechtigungsrollen des SAP System niemals überschrieben oder gelöscht werden, sondern lediglich Kopien davon erstellt werden, welche dann beliebig angepasst werden können.
Berechtigungstools der SAP GRC Suite sorgen dafür, dass sich jedes Unternehmen ein stark automatisiertes Compliance Management passgenau konzipieren kann. Der überwiegende Teil deutscher Unternehmen mit einem SAP System setzt noch keine Berechtigungstools ein. Dabei stellt die Verwendung von SAP Berechtigungstools für viele Unternehmen einen großen Vorteil dar. In welchem Umfang der Einsatz von Berechtigungstools sinnvoll ist, hängt von der Größe eines Unternehmens ab.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Deaktivieren Sie alle weiteren sichtbaren Berechtigungsobjekte.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Als Administrator können Sie auch fehlgeschlagene Berechtigungsprüfungen von anderen Benutzern sichern.