RSUSR008_009_NEW
Wissen, warum welcher Nutzer welche SAP-Berechtigung hat
Der Prozess der Benutzerverwaltung, also Benutzeranlage, -änderung und -deaktivierung sollte einerseits in schriftlich dokumentierter Form, entweder als eigenes Dokument oder als Teil des schriftlich dokumentierten Berechtigungskonzepts, vorliegen und andererseits auch gemäß der Dokumentation durchgeführt werden. Daher ist ein Abgleich auf zwei Ebenen vorzunehmen, einerseits sollte sichergestellt werden, dass die Dokumentation aktuell ist und andererseits sollte überprüft werden, ob der Prozess im zu prüfenden Wirtschaftsjahr auch eingehalten wurde. Mögliche Abweichungen sollten bereits argumentativ vorbereitet werden, es können immer Sonderfälle auftreten, die vom eigentlichen Prozess abweichen. Diese sind jedoch nachvollziehbar zu dokumentieren, damit ein externer Prüfer, wie es eben der IT-Prüfer des Wirtschaftsprüfers ist, verplausibilisieren kann. Sämtliche Dokumentationen sollten mit den wesentlichen Informationen (Ersteller, Datum, Version, etc.) versehen werden und in einem nicht veränderbaren Format (in der Regel PDF) vorliegen. Weitere Unterlagen können auch aus dem Ticket-System ausgegeben werden, sofern der Prozess durchgängig über das Ticketsystem dokumentiert ist.
Welche Anwendungen verfügen über ähnliche oder gleiche Funktionen? Verwenden Sie die Anwendungssuche, um dies herauszufinden. Nehmen Sie einmal an, Sie sollen Zugriffe für bestimmte Benutzer oder Revisoren auf bestimmte Daten erlauben. Ein Revisor darf sich in der Regel Inhalte definierter Tabellen anschauen; um dem betreffenden Revisor allerdings nicht die Berechtigung für die Anwendung der generischen Tabellenwerkzeuge, wie z. B. der Transaktionen SE16, SM30 usw., zu erteilen, müssen Sie prüfen, ob die relevanten Tabellen eventuell über andere Transaktionen bereitgestellt werden. Die eigentliche Funktion der alternativen Anwendung soll dabei aber nicht genutzt werden.
Berechtigungen nach einem Upgrade anpassen
Single Sign-on (SSO): Diese Lösung ist sinnvoll, wenn Sie SSO bisher noch nicht für Ihre SAPSysteme im Einsatz haben oder nicht alle SAP-Systeme in die SSO-Lösung eingebunden sind. In solchen Fällen müssen Sie die Webanwendung in einem System implementieren, das die Anmeldungen per SSO unterstützt, z. B. die Zentrale Benutzerverwaltung (ZBV), das SAP Identity Management (ID Management) oder ein Active Directory (AD).
Bisher gab es keine Möglichkeiten, um für diese Benutzer andere Passwortregeln oder Anforderungen an die Passwortänderungen zu definieren. Heute ist dies mithilfe der Sicherheitsrichtlinien, die Sie benutzer- und mandantenspezifisch zuordnen, möglich. Wir zeigen Ihnen im Folgenden, wie Sie Sicherheitsrichtlinien definieren und wie diese wirken.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Der Systemstatus und die bereits implementierten SAP-Hinweise werden dabei berücksichtigt.
Damit ein Anwender in SAP CRM arbeiten kann, benötigt er sowohl CRM-Business-Rollen, die die Benutzeroberfläche definieren, als auch die jeweiligen PFCG-Rollen, die ihn zur Arbeit in den Anwendungen berechtigen.