Dateneigentümerkonzept
FAZIT
Manchmal sind Implementierungsberater auch mit der Situation konfrontiert, dass noch gar kein Berechtigungskonzept vorhanden ist. Das passiert bspw. dann, wenn Änderungen bei den SAP SuccessFactors-Verantwortlichkeiten auf Kundenseite geschehen oder in der Vergangenheit unterschiedliche Umsetzungspartner tätig waren. Ein fehlendes Konzept kann jedoch zu Fehlern im System führen. Nutzer können bestimmte Aktionen nicht durchführen oder noch schlimmer: Personen sehen sensible Daten, die sie nicht sehen dürften. Dies kann, im schlimmsten Fall, einen DSGVO-Verstoß darstellen und zu einem Bußgeld für das Unternehmen führen.
Erstellen Sie eine Reporttransaktion für den Report, der im Hintergrundjob aufgerufen wird. Legen Sie die Reporttransaktion in der Transaktion SE93 an, und weisen Sie den Report RHAUTUPD_NEW als Programm zu. Starten Sie den Berechtigungstrace, indem Sie den Profilparameter auth/ authorization_trace auf Y setzen bzw. auf F, falls Sie mit Filtern arbeiten möchten (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«). Führen Sie nun den Job aus, um Berechtigungsprüfungen im Berechtigungstrace zu sammeln. Ihre Berechtigungsprüfungen sollten nun in der Transaktion STUSOBTRACE sichtbar sein. Pflegen Sie nun die Berechtigungsvorschlagswerte für Ihre Reporttransaktion in der Transaktion SU24, indem Sie den Transaktionscode im entsprechenden Feld eingeben. Sie werden feststellen, dass keine Werte gepflegt sind. Wechseln Sie nun in den Änderungsmodus. Über den Menüpfad Objekt > Objekte aus Berechtigungstrace einfügen > Lokal können Sie Ihre Berechtigungsvorschläge aus dem Trace hinzufügen (siehe Tipp 40, »Den Berechtigungstrace für die Ermittlung von Vorschlagswerten für kundeneigene Entwicklungen verwenden«). Fügen Sie für jedes angezeigte Berechtigungsobjekt die Vorschlagswerte hinzu. Erstellen Sie nun eine PFCG-Rolle, die die Berechtigung für die Reporttransaktion beinhaltet, und pflegen Sie die noch offenen Berechtigungsfelder. Testen Sie anschließend, ob der Job mit den Berechtigungen aus der PFCG-Rolle ausgeführt werden kann.
Berechtigungen
Servicebenutzer werden für den anonymen Zugriff durch mehrere Personen verwendet, z. B. für Webservices. Auch dieser Benutzertyp ist dialogfähig, d. h., dass er sich über SAP GUI am SAP-System anmelden kann. Mit einem Servicebenutzer sind immer Mehrfachanmeldungen möglich, und die Regeln für die Änderung von Passwörtern greifen nicht. Mit der Einführung der Sicherheitsrichtlinien hat sich dieses Verhalten geändert. Denn zuvor waren alle Passwortregeln für den Servicebenutzer ungültig, und nun greifen die Regeln für die Inhalte der Passwörter auch bei ihm (Details zu den Sicherheitsrichtlinien finden Sie in Tipp 5, »Sicherheitsrichtlinien für Benutzer definieren«). Das Passwort einen Servicebenutzers hat immer den Status Produktiv und kann nur durch den Benutzeradministrator geändert werden.
Zum Schluss möchten wir Sie noch auf den SAP-Hinweis 1781328 aufmerksam machen, der den Report PFCG_ORGFIELD_ROLES_UPD bereitstellt. Mit diesem Report wird eine Massenaktualisierung bestehender Rollenableitungen ermöglicht. Dabei wird allerdings nicht das Konzept der Organisationsmatrix verwendet, sondern Sie müssen die neuen Organisationswerte direkt beim Aufruf des Reports hinterlegen. Deshalb erfordert diese Funktion einen hohen Grad an Verständnis für die im Hintergrund laufenden Anpassungen und ist aus diesem Grund nur als Pilothinweis verfügbar. Das heißt, dass dieser Hinweis explizit über eine Kundenmeldung angefragt werden muss und erst daraufhin vom SAP-Support gegebenenfalls für Sie freigegeben wird. Es ist aktuell nicht geplant, den Hinweis etwa über ein Support Package allgemein verfügbar zu machen.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Pflegen Sie die Werte nicht oder setzen Sie sie auf einen anderen Wert als YES, werden die Rollenmenüs des Referenzbenutzers beim Aufbau des Benutzermenüs nicht berücksichtigt.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Hier sollten Sie mindestens das Berechtigungsobjekt UIU_COMP pflegen, damit diese Informationen in die PFCG-Rolle geladen werden, sobald Sie den externen Service in Ihr Rollenmenü aufnehmen.