Berechtigungstraces anwendungsserverübergreifend auswerten
Berechtigungen nach einem Upgrade anpassen
Führen Sie Schritt 2a (automatischer Abgleich mit SU22-Daten) aus. In diesem Schritt werden die Daten der Transaktion SU22 des neuen Release in die Transaktion SU24 übernommen. Gibt es in Anwendungen eine Änderung bzw. Unterschiede (geänderte Prüfkennzeichen, Vorschläge, Feldwerte oder neue bzw. gelöschte Berechtigungsobjekte), wird in der Tabelle USOB_MOD bzw. TCODE_MOD der MOD_TYPE auf M gesetzt. Mit dem SAP-Hinweis 1759777 wird für Schritt 2a eine Selektion angeboten, mit der dieser Schritt simuliert werden kann. Eine weitere Option Lösche Flags für Anwendungen mit geänderten Daten wird angeboten, um nur dann die neuen Änderungen zu übernehmen, wenn Schritt 2a selektiv ausgeführt wird.
Manchmal sind Implementierungsberater auch mit der Situation konfrontiert, dass noch gar kein Berechtigungskonzept vorhanden ist. Das passiert bspw. dann, wenn Änderungen bei den SAP SuccessFactors-Verantwortlichkeiten auf Kundenseite geschehen oder in der Vergangenheit unterschiedliche Umsetzungspartner tätig waren. Ein fehlendes Konzept kann jedoch zu Fehlern im System führen. Nutzer können bestimmte Aktionen nicht durchführen oder noch schlimmer: Personen sehen sensible Daten, die sie nicht sehen dürften. Dies kann, im schlimmsten Fall, einen DSGVO-Verstoß darstellen und zu einem Bußgeld für das Unternehmen führen.
WARUM ACCESS CONTROL
Nach fehlenden Berechtigungen tracen: Starten Sie den Systemtrace für Berechtigungen (Transaktion ST01 oder STAUTHTRACE), um Berechtigungsprüfungen aufzuzeichnen, die Sie in die Rolle aufnehmen möchten (siehe Tipp 31, »Traceauswertung optimieren«). Es werden Anwendungen über Startberechtigungsprüfungen protokolliert.
Die erste Anforderung nach zusätzlichen Prüfungen bei der Durchführung von Belegbuchungen können Sie mithilfe der Belegvalidierung umsetzen. In diesem Beispiel gehen wir davon aus, dass der Beleg über eine Schnittstelle gebucht wird und Sie Berechtigungen für kundeneigene Berechtigungsobjekte und/oder bestimmte Datenkonstellationen prüfen möchten. Für die Belegvalidierung gibt es unterschiedliche Zeitpunkte. Der komplette Beleg kann immer validiert werden, stehen Ihnen nur die Informationen aus Belegkopf (Zeitpunkt 1) oder Belegposition (Zeitpunkt 2) zur Verfügung, kann dies abhängig vom Szenario auch ausreichend sein. In solchen Fällen müssen Sie die Validierung unter den entsprechenden Zeitpunkten anlegen. Bevor Sie einen User-Exit in einer Validierung ausprägen können, sind einige Vorbereitungen zu treffen.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Beachten Sie auch unsere Erläuterungen zur Einbindung des Mitbestimmungsorgans Ihrer Organisation bei der Speicherung und Verwendung der statistischen Nutzungsdaten.
Wählen Sie einen Namen für die Rolle, und klicken Sie anschließend auf Einzelrolle anlegen.