Anforderungen an ein Berechtigungskonzept umsetzen
Fehlendes Knowhow
Liegen solche Informationen aus der Vergangenheit vor, sollte überprüft werden, ob alle Themen entsprechend den Anmerkungen umgesetzt wurden. Sollte die eine oder andere Empfehlung nicht umgesetzt worden sein, ist dieser Umstand auf jeden Fall nachvollziehbar zu dokumentieren, bzw. sollte eine nachvollziehbare Begründung vorgebracht werden können. Es reicht jedoch nicht, sich nur auf die vorgebrachten Verbesserungspotentiale zu konzentrieren, denn es muss sichergestellt sein, dass all jene Punkte, welche in der Vergangenheit nicht moniert wurden, auch weiterhin passen. Die Vorbereitung wird wesentlich erschwert, wenn keine hilfreichen Kommentare oder Berichte aus dem vergangenen Geschäftsjahr vorliegen oder wenn es sich um eine Erstprüfung bzw. um einen Wechsel des Wirtschaftsprüfers handelt. Was sieht sich der IT-Prüfer im Rahmen der Jahresabschlussprüfung alles an? Es gibt Themen, die sich jeder Prüfer ansieht, weil es dazu Standards gibt, jedoch ist es üblich, dass der Wirtschaftsprüfer abhängig von der Strategie der gesamten Prüfung, zusätzliche Prüfungshandlungen in der IT-Prüfung vornimmt. In diesem Newsletter wollen wir uns auf die wichtigsten Standardprüfungsthemen auf der Prozessebene und der darin definierten IT-Kontrollen im Zusammenhang des SAP®-Systems konzentrieren.
Berechtigungen für bestimmte Funktionen zu vergeben, die in SAP CRM über externe Services aufgerufen werden, erfordert einige Vorarbeiten. Anwender, die in SAP CRM arbeiten, verwenden den SAP CRM Web Client, um CRM-Funktionen aufzurufen. Damit dies reibungslos funktioniert, müssen Sie dem Anwender eine CRM-Business-Rolle zuweisen, die alle für den Nutzer notwendigen CRM-Funktionen zur Verfügung stellt. Wenn die Rolle nur für den Zugriff auf bestimmte externe Services, unabhängig vom Customizing, berechtigen soll (bzw. nur für die im Customizing angegebenen externen Services), wird es etwas kniffliger. Alle anklickbaren Elemente im SAP CRM Web Client, wie Bereichsstartseiten oder logische Links werden durch CRM-UI-Komponenten dargestellt. Diese UI-Komponenten sind, technisch gesehen, BSP-Anwendungen. Durch einen Klick auf eine solche Komponente erhält der Anwender Zugriff auf bestimmte CRM-Funktionen. Diese UI-Komponenten werden in den Rollen als externe Services dargestellt. Der Zugriff auf diese UI-Komponenten muss über PFCG-Rollen explizit erlaubt werden, ähnlich wie bei der Berechtigung für den Zugriff auf bestimmte Transaktionen.
Berechtigungen zur Tabellenbearbeitung organisatorisch einschränken
Sie können nicht auf alles selbst ein Auge haben. Verhindern Sie daher, dass Ihre Kollegen Benutzern keine Benutzergruppe zuordnen, und sichern Sie so die korrekte Berechtigungsprüfung bei der Benutzerstammdatenpflege. Sie möchten nicht, dass ein Benutzer ohne Benutzergruppe in Ihren SAP-Systemen angelegt werden kann? Benutzer ohne Benutzergruppe können von allen Administratoren mit einer Berechtigung für beliebige Benutzergruppen geändert werden. Außerdem sollten Sie unvollständige Berechtigungsprüfungen bei der Zuordnung von Rollen und Profilen an Benutzer ohne Berechtigungsgruppe unterbinden. Denn es ist möglich, einem Benutzer zuerst Rollen und Berechtigungen zuzuweisen und erst später eine Benutzergruppe zuzuordnen, für die keine Berechtigung zur Zuordnung von Rollen und Profilen vorliegt. Sie möchten schließlich für einen bestehenden Benutzer die Benutzergruppe ändern, ohne eine Berechtigung für die neue Benutzergruppe zu haben? Wir zeigen Ihnen im folgenden Abschnitt, wie Sie die Absicherung Ihrer Benutzerstammdatenpflege vornehmen können.
Native oder analytische Kacheln: Diese Kachel funktionieren ausschließlich in der FIORI Oberfläche und sind an die neue Technologie angepasst. Hier werden z.B. push Meldungen auf der Kachel angezeigt, oder es werden Kennzahlen, Diagramme etc. angezeigt, die dann per Klick direkt weiterverarbeitet werden können. Diese Kacheln haben keinen direkten GUI Zugriff, bzw. können direkt in der GUI Umgebung nicht genutzt werden. Wie bereits oben erwähnt, wird der Zugriff auf diese Kacheln in einem sogenannten Front-End-System über entsprechende Kataloge und Gruppen zur Verfügung gestellt. Die dahinterliegenden konzeptionellen Berechtigungen (wer darf was innerhalb der Funktionalität der Kachel) folgt aber den gleichen Prozessen wie in der „alten Welt“ beim Transaktions Zugriff. Die Kachel im Front-End benötigt hier entsprechende abhängige ausgeprägte Berechtigungen (Stichwort:SU24 Abgleich). Im Back-End-System, dann wiederum – analog der „alten“ Welt – über eine Rolle, die im Profilgenerator aufgebaut und auf Objekt und Feld Ebene gepflegt, bzw. eingestellt wird. Natürlich müssen auch hier dann noch u.a. die Themen wie Update von internen und Third-Party Tools, Integration von Cloud Lösungen, moderne hybride Infrastrukturen, Definition und Betrieb bei laufenden dynamische Veränderungen, usw. berücksichtigt werden.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Die Transaktionen SE38 und SA38 sollten im produktiven System nicht vergeben werden, und kundeneigene Programme sollten in eigene Transaktionscodes eingebunden werden.
Neben vorhandenen Berechtigungsobjekten können hier auch eigene Berechtigungsobjekte angelegt weren und auch vorhandene Berechtigungsfelder wie Aktivität (ACTVT) ausgefwählt werden.