Bereits vorhandene Berechtigungen
Inhalte des Profils SAP_ALL anpassen
Textbausteine in Berechtigungsrollen können Sie einzeln mithilfe der Transaktion SE63 übersetzen. Wenn Sie viele Rollen übersetzen müssen, gibt es aber auch Automatisierungsoptionen, die wir Ihnen hier vorstellen. Es gibt verschiedene Szenarien, in denen es interessant wird, die Texte von Berechtigungsrollen zu übersetzen, z. B. wenn Ihr Unternehmen international agiert. Auch kann es vorkommen, dass Sie ein Drittunternehmen mitsamt den dort genutzten SAP-Systemen übernommen haben oder Sie eine Vereinfachung der SAP-Systemlandschaft anstreben und dafür verschiedene Sparten in einem System vereinen. In allen genannten Fällen müssen Sie die Texte der Berechtigungsrollen vereinheitlichen oder übersetzen. Für die reine Übersetzung können Sie die Transaktion SE63 nutzen, die wir im ersten Abschnitt dieses Tipps erläutern. Im Regelfall müssen Sie aber bei den genannten Szenarien eine große Anzahl von Rollentexten übersetzen; daher erläutern wir im zweite Abschnitt wie Sie die Übersetzung mithilfe der Transaktion LSMW (Legacy System Migration Workbench) automatisieren und gehen auf den Aufbau eines kundeneigenen ABAP-Programms ein.
Excel-basierte Werkzeuge, die nicht wie eCATT einfach die Transaktion PFCG im Hintergrund benutzen, funktionieren fast ausschließlich nach dem Einwegprinzip: Eine gleichzeitige Pflege von Rollen in der Transaktion PFCG ist nicht mehr möglich, und dortige Änderungen werden durch das Werkzeug überschrieben. Damit müssen alle Berechtigungsadministratoren ausschließlich mit der neuen Lösung arbeiten.
Testen der Berechtigung
Diese erweiterte Funktionalität der Transaktion SU53 wird über einen Patch ausgeliefert. Im SAP-Hinweis 1671117 finden Sie weiterführende Informationen zu den erforderlichen Support Packages sowie technische Hintergründe. Nicht erfolgreiche Berechtigungsprüfungen werden nun in einen Ringpuffer des Shared Memorys des Anwendungsservers geschrieben. Damit können Sie nun fehlgeschlagene Berechtigungsprüfungen auch in Web-Dynpro-Anwendungen oder anderen Benutzeroberflächen anzeigen, was bisher nicht möglich war. Abhängig von der Größe des Ringpuffers und der Systemauslastung können je Benutzer bis zu 100 fehlgeschlagene Berechtigungsprüfungen für die letzten drei Stunden angezeigt werden. Die Größe des Ringpuffers wird aus der Anzahl der definierten Workprozesse berechnet. Standardmäßig können 100 Berechtigungsprüfungen je Workprozess gespeichert werden. Diese Größe können Sie mithilfe des Profilparameters auth/su53_buffer_entries anpassen.
Kontrollieren Sie zunächst in der Transaktion SCC4, ob die Ausführung von eCATT erlaubt ist. Starten Sie dann die Transaktion SECATT. Beim Einstieg können Sie Testskripte und Testkonfigurationen definieren und ändern. Erstellen Sie zunächst ein Testskript. Stellen Sie es sich als Blaupause vor oder als Ablaufvorschrift dazu, wie neue, abgeleitete Rollen erstellt werden. Das Testskript wird später Ihre Aufzeichnung enthalten. Geben Sie dem Skript einen sprechenden Namen, z. B. Z_MASSENERSTELLUNG_ABLEITUNGEN. Klicken Sie dann auf den Button Objekt anlegen. Sie gelangen nun zur Registerkarte Attribute, auf der Sie die allgemeinen Rahmendaten angeben. Wechseln Sie anschließend auf die Registerkarte Editor. Nun geht es zur Aufzeichnung, in der eCATT-Sprache Muster genannt. Klicken Sie auf den Button Muster, und geben Sie an, dass Sie die Transaktion PFCG aufzeichnen möchten, indem Sie die Einstellungen UIAnsteuerung und TCD (Record) wählen. Das System wird vorschlagen, die Schnittstelle dazu »PFCG_1« zu nennen; dies können Sie einfach bestätigen. Mit der Bestätigung des Dialogs wird sofort die Aufzeichnung gestartet; Sie landen daher in der Transaktion PFCG. Wir wollen die Anlage einer Einzelrolle aufzeichnen, die von einer Referenzrolle abgeleitet wird. Gehen Sie die entsprechenden Schritte in der Transaktion PFCG durch, und versuchen Sie, überflüssige Schritte zu vermeiden – denn jeder Schritt, den Sie durchführen, macht Ihre Aufzeichnung größer und unübersichtlicher. Geben Sie den Namen der abgeleiteten Rolle ein – diesen können wir später beim Abspielen mit eCATT beeinflussen – und legen Sie die Rolle an. Weisen Sie nun die Referenzrolle zu. Beachten Sie, dass die Transaktion PFCG wirklich ausgeführt wird, die Rolle also tatsächlich im System angelegt wird! Pflegen Sie nun die Berechtigungen und Organisationsebenen. Verwenden Sie nach Möglichkeit in der Aufzeichnung Werte für die Organisationsebenen, die Sie später unter anderen Zahlen gut wiederfinden können, also etwa 9999 oder 1234. Nach dem Generieren und Speichern der Rolle landen Sie wieder in eCATT. Dort werden Sie gefragt, ob Sie die Daten übernehmen wollen und bestätigen dies mit Ja.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Ferner kann eine Vernachlässigung gesetzlicher Vorgaben (BDSG, DSGVO, GOB, HGB etc.)1 zu rechtlichen Maßnahmen oder Schritten führen.
Die in der Grafik dargestellten Berechtigungsrollen zeigen lediglich die durch SAP voreingestellten technischen Spezifikationen.