ADM940 Berechtigungskonzept AS ABAP

Transkript

1 Berechtigungskonzept AS ABAP SAP NetWeaver Version der Schulung: 99 Dauer der Schulung: 3 Tag(e) Publication Date: 2014 Publication Time:

2 Copyright Copyright SAP AG. Alle Rechte vorbehalten. Weitergabe und Vervielfältigung dieser Publikation oder von Teilen daraus sind, zu welchem Zweck und in welcher Form auch immer, ohne die ausdrückliche schriftliche Genehmigung durch SAP AG nicht gestattet. Des Weiteren sind diese Publikation und ihr Inhalt ausschließlich für Ihren Gebrauch bestimmt. Die Publikation und ihr Inhalt dürfen nicht ohne ausdrückliche Genehmigung der SAP AG vermietet, übertragen oder verkauft werden. In dieser Publikation enthaltene Informationen können ohne vorherige Ankündigung geändert werden. Die von SAP AG oder deren Vertriebsfirmen angebotenen Software-Produkte können Software-Komponenten auch anderer Software-Häuser enthalten. Markenzeichen Microsoft, WINDOWS, NT, EXCEL, Word, PowerPoint und SQL Server sind eingetragene Marken der Microsoft Corporation. IBM, DB2, OS/2, DB2/6000, Parallel Sysplex, MVS/ESA, RS/6000, AIX, S/390, AS/400, OS/390 und OS/400 sind eingetragene Marken der IBM Corporation. ORACLE ist eine eingetragene Marke der ORACLE Corporation. INFORMIX -OnLine for SAP und Informix Dynamic ServerTM sind eingetragene Marken der Informix Software Incorporated. UNIX, X/Open, OSF/1 und Motif sind eingetragene Marken der Open Group. Citrix, das Citrix-Logo, ICA, Program Neighborhood, MetaFrame, WinFrame, VideoFrame, MultiWin und andere hier erwähnte Namen von Citrix-Produkten sind Marken von Citrix Systems, Inc. HTML, DHTML, XML, XHTML sind Marken oder eingetragene Marken des W3C, World Wide Web Consortium, Massachusetts Institute of Technology. JAVA ist eine eingetragene Marke der Sun Microsystems, Inc. JAVASCRIPT ist eine eingetragene Marke der Sun Microsystems, Inc., verwendet unter der Lizenz der von Netscape entwickelten und implementierten Technologie. SAP, SAP Logo, R/2, RIVA, R/3, ABAP, SAP ArchiveLink, SAP Business Workflow, WebFlow, SAP EarlyWatch, BAPI, SAPPHIRE, Management Cockpit, mysap.com Logo und mysap.com sind Marken oder eingetragene Marken der SAP AG in Deutschland und vielen anderen Ländern weltweit. Alle anderen Produkte sind Marken oder eingetragene Marken der jeweiligen Firmen. Verzichtserklärung Bei der Zusammenstellung der Texte, Verweise und Abbildungen wurde mit größter Sorgfalt vorgegangen; trotzdem ist ein vollständiger Fehlerausschluss nicht möglich. Die nachfolgende Dokumentation erfolgt daher ohne Gewähr für Richtigkeit und Vollständigkeit der gemachten Angaben, für deren Verifizierung allein der Anwender die Verantwortung trägt. SAP übernimmt für aus der Verwendung dieser Dokumentation entstehende Schäden, gleich aus welchem Rechtsgrund, eine Haftung nur im Falle vorsätzlichen oder grob fahrlässigen Handelns; im übrigen ist die Haftung von SAP ausgeschlossen. SAP übernimmt keine Verantwortung für die Inhalte von Seiten Dritter, auf welche wir durch Links verweisen. g

3 Inhaltsverzeichnis Inhaltsverzeichnis Überblick über die Schulung... Ziele der Schulung... Lernziele der Schulung... v v v Kapitel 1: Berechtigungen im Allgemeinen... 1 Was versteht man unter Berechtigungen... 1 Berechtigungskonzept erstellen und umsetzen... 1 Kapitel 2: Grundbegriffe der Berechtigungen... 2 Elemente und Begriffe des Berechtigungskonzepts (ABAP)... 2 Berechtigungsprüfung im SAP System... 2 Kapitel 3: Benutzereinstellungen... 3 Benutzerdaten pflegen und auswerten... 3 Kapitel 4: Arbeiten mit der Rollenpflege... 4 Rollenpflege und Standardrollen... 4 Spezielle ABAP-Rollen... 4 Feinheiten bei der Berechtigungspflege... 5 Kapitel 5: Grundeinstellungen... 6 Rollenpflege: Installation und Upgrade... 6 Zugangskontrolle und Benutzerverwaltung... 6 Kapitel 6: Verwendung von Traces... 8 Fehlersuche und Administrationshilfen... 8 Pflege von Menüs und Berechtigungen über Traceauswertung... 8 Kapitel 7: Transport von Berechtigungen... 9 Transport von Berechtigungskomponenten... 9 Kapitel 8: Integration in der Firmenlandschaft...10 Zentrale Benutzerverwaltung (ZBV) Integration ins Organisationsmanagement SAP NetWeaver Identity Management SAP AG. Alle Rechte vorbehalten. iii

5 Überblick über die Schulung Überblick über die Schulung Dieser Kurs vermittelt Informationen zu den Grundlagen des SAP-Berechtigungskonzepts anhand von auf AS ABAP basierenden SAP-Systemen. Grundkenntnisse in der SAP-Umgebung sind für die Schulung unerlässlich. Zielgruppe Diese Schulung richtet sich an die folgenden Zielgruppen: Mitarbeiter des Projektteams Berechtigungs- bzw. Benutzeradministratoren aus der Systemadministration Berechtigungs- bzw. Benutzeradministratoren aus den Fachbereichen Voraussetzungen für die Teilnahme Erforderliche Vorkenntnisse SAPTEC (SAP NetWeaver: Grundlagen der Anwendungsplattform) Empfohlene Vorkenntnisse SAP01 (SAP-Überblick) Besuch von Grundlagen- bzw. Detailschulungen, mindestens in einem Anwendungsbereich Ziele der Schulung Diese Schulung ermöglicht es den Teilnehmern, Kennen lernen der Elemente, Strategien und Werkzeuge des SAP-Berechtigungskonzepts Berechtigungsprofile mit der Rollenpflege erzeugen und zuordnen Arbeiten mit dem Werkzeug "Zentrale Benutzerverwaltung" (ZBV) Lernziele der Schulung Am Ende dieser Schulung können die Teilnehmer Was sind Elemente und Objekte der Berechtigungswesens Verwendung und Einsatzmöglichkeiten der Rollenpflege Analyse von Berechtigungen Besondere Objekt für die Administratoren 2014 SAP AG. Alle Rechte vorbehalten. v

7 Kapitel 1 Berechtigungen im Allgemeinen Überblick über das Kapitel Das Kapitel ist der Einstieg in das Thema Berechtigungen. Beginnend mit den Grundgedanken zum Thema Berechtigungen über das rollenbasierte Berechtigungskonzept der SAP bis zu einer Methode, die beschreibt, wie man Berechtigungen aufbaut, strukturiert und in einer Kundenlandschaft implementiert. Lektion: Was versteht man unter Berechtigungen Das SAP-Berechtigungswesen als Teil eines umfassenden Sicherheitskonzepts einordnen Die Mechanismen zur Zugangs- und Zugriffskontrolle skizzieren Den Zusammenhang zwischen Benutzern, Rollen und Berechtigungen erklären Die technische Realisierung eines rollenbasierten Berechtigungskonzepts beschreiben Lektion: Berechtigungskonzept erstellen und umsetzen den Aufbau eines Berechtigungskonzeptes erklären die notwendigen Schritte zur Implementierung eines Konzeptes nennen die Tätigkeiten für die einzelnen Implementierungsschritte beschreiben das vorgestellte Vorgehensmodell zur Implementierung eines Berechtigungskonzepts auf eigene Projekte anwenden die Strategie bei der Benutzer- und Berechtigungsverwaltung erklären 2014 SAP AG. Alle Rechte vorbehalten. 1

8 Kapitel 2 Grundbegriffe der Berechtigungen Überblick über das Kapitel Dieses Kapitel beschreibt mit zwei Lektionen den Einstieg in die Grundbegriffe der Berechtigungen und der prinzipiellen Berechtigungsprüfung im SAP-System. Die Zusammenhänge der Berechtigungsbegriffe werden schrittweise erklärt und sorgen für eine gute Grundlage aller folgenden Kapitel. Lektion: Elemente und Begriffe des Berechtigungskonzepts (ABAP) die einzelnen Elemente des Berechtigungskonzeptes beschreiben und unterscheiden die Zusammenhänge der Elemente im Gesamtkonzept beschreiben Rollen und Berechtigungsprofile unterscheiden die Bedeutung eines Berechtigungsobjektes in Erfahrung bringen den Zusammenhang zwischen Rollen und Easy Access Menü erklären Lektion: Berechtigungsprüfung im SAP System erklären, wann eine Berechtigungsprüfung erfolgt den Unterschied zwischen der Berechtigungsprüfung beim Transaktionsstart und durch ein Programm unterscheiden die Funktion des Benutzerpuffers verstehen und die gepufferten Benutzerberechtigungen auswerten einige zusätzliche Prüfungen steuern, ohne das System zu modifizieren 2014 SAP AG. Alle Rechte vorbehalten. 2

9 Kapitel 3 Benutzereinstellungen Überblick über das Kapitel Was ist der Benutzerstammsatz? Diese Frage wird hier in diesem Kapitel beantwortet. Grundsätzlich wird bei SAP Systemen zwischen der Zugangs- und Zugriffskontrolle unterschieden. Beides wird über den Benutzerstammsatz eines Anwenders vergeben und gesteuert. Lektion: Benutzerdaten pflegen und auswerten Benutzerstammsätze anlegen und ändern die Werte auf den Registerkarten des Benutzerstammsatzes einstellen den Unterschied der Benutzertypen verstehen die Massenpflege bedienen und einsetzen Änderungsbelege bei der Berechtigungsvergabe anzeigen und archivieren 2014 SAP AG. Alle Rechte vorbehalten. 3

10 Kapitel 4 Arbeiten mit der Rollenpflege Überblick über das Kapitel Die Rollenpflege ist in einem SAP-System die zentrale Stelle, über die die Berechtigungen für Benutzer festgelegt und in wiederverwendbaren Blöcken (Rollen) zusammengefasst werden. Dieses Kapitel beschreibt alle Möglichkeiten und Schaltflächen in der Rollenpflege. In der Praxis werden aus historischen Gründen hierfür auch die Begriffe Profilgenerator oder PFCG, was für den Transaktionscode steht, verwendet. Aufgeteilt ist dieses Kapitel in 3 Lektionen um den Einstieg stufenweise zu ermöglichen. Lektion: Rollenpflege und Standardrollen die grundlegenden Schritte der Berechtigungsvergabe mit der Rollenpflege beschreiben und erklären Rollen neu anlegen, verändern und kopieren, sowie deren Aktivitäten festlegen automatisch generierte Berechtigungen anzeigen und pflegen Benutzerstämme in der Rollenpflege PFCG oder über Benutzerpflege SU01 direkt abgleichen beschreiben, wie man einen Massenabgleich durchführt und welchen Report Sie für einen automatischen Abgleich einplanen können Lektion: Spezielle ABAP-Rollen den Einsatz von Customizing Rollen beschreiben die Vor- und Nachteile der Sammelrollen erklären wissen Sie, welcher Zusammenhang zwischen Referenz- und Abgeleiteten Rollen besteht häufig verwendete Transaktionen bündeln und diese mit unterschiedlichen Ausprägungen durch abgeleitete Rollen abbilden beschreiben, wie ein Massenabgleich durchgeführt wird und welchen Report Sie für einen automatischen Abgleich einplanen können 2014 SAP AG. Alle Rechte vorbehalten. 4

11 Lektion: Feinheiten bei der Berechtigungspflege die Ampeln Rot, Gelb und Grün für die unterschiedlichen Feldinhalte deuten die Bedeutung der Ikonen in der PFCG-Berechtigungspflege beschreiben die Hierarchie der Statusbegriffe aufzeichnen und erklären, wann welcher Begriff erscheint zwischen dem Expertenmodus und der Einfachpflege für Berechtigungen unterscheiden kennen Sie weitere Funktionen, die über das Menü erreichbar sind 2014 SAP AG. Alle Rechte vorbehalten. 5

12 Kapitel 5 Grundeinstellungen Überblick über das Kapitel Dieses Kapitel beschreibt grundlegende Einstellungen zum Thema Berechtigungen. Einige dieser Einstellungen sollten vor der Verwendung von PFCG vorgenommen werden (Lektion 1: Installation und Upgrade), während andere Einstellungen während des laufenden Betriebs erfolgen (Lektion 2: Konzept der Benutzerverwaltung). Zu diesem Zweck werden einige Parameter, Schalter und Objekte verwendet. Diese werden hier beschrieben. Lektion: Rollenpflege: Installation und Upgrade die zur Installation der Profilpflege notwendigen Schritte durchführen Vorschlagswerte und Prüfkennzeichen im System finden die Vorschlagswerte der Profilpflege ändern, löschen oder erweitern nach einem Upgrade die notwendigen Schritte für die Nacharbeiten von alten- und neuen Berechtigungswerten durchführen neue Funktionalität in Transaktion SU25 beschreiben Lektion: Zugangskontrolle und Benutzerverwaltung Kennwortregeln & Systemprofilparameter definieren Sonderbenutzer im SAP System schützen SAP-Funktionen über das Berechtigungsobjekt S_TCODE schützen Tabellen/Views über Berechtigungsgruppen schützen Programme über Berechtigungsgruppen schützen Aufgaben in der Benutzer- und Berechtigungsverwaltung beschreiben Möglichkeiten zur Funktionstrennung bei der Benutzer- und Berechtigungsverwaltung aufzeigen Möglichkeiten zur Dezentralisierung der Benutzerverwaltung darstellen 2014 SAP AG. Alle Rechte vorbehalten. 6

14 Kapitel 6 Verwendung von Traces Überblick über das Kapitel Die erste Lektion behandelt die Analyse der fehlgeschlagenen Berechtigungsprüfung und der Systemtrace und zeigt die Informationsecke (Infosystem & AIS), die dem Administrator mit unterschiedlichen Suchoptionen die Systemeinstellungen und -anforderungen, zum Thema Berechtigungen, auflistet. Die zweite Lektion zeigt wie der Systemtrace zur Pflege von Menüs und Berechtigungen einer Rolle sowie für die Pflege der Berechtigungsvorschlagswerte verwendet werden kann. Lektion: Fehlersuche und Administrationshilfen Berechtigungsprüfungen auf verschiedene Arten analysieren die Transaktion SU53 anwenden und damit fehlende Berechtigungen herausfinden (auch von anderen Benutzern) den Systemtrace ( ST01 ) oder den Systemtrace für Berechtigunhgsprüfungen (STAUTHTRACE) durchführen die Möglichkeiten des Infosystems anwenden und für unterschiedliche Anforderungen nutzen die Funktionalität des neuen AIS (Audit-Infosystem) verstehen und anwenden Lektion: Pflege von Menüs und Berechtigungen über Traceauswertung den Systemtrace zur Pflege von Menüs, und Berechtigungen in Rollen zu nutzen den Systemtrace zur Pflege der Berechtigungsvorschlagswerte zu nutzen 2014 SAP AG. Alle Rechte vorbehalten. 8

15 Kapitel 7 Transport von Berechtigungen Überblick über das Kapitel In diesem Kapitel wird der Transport von Berechtigungsdaten beschrieben. Dieser reicht von Benutzerstämmen über Rollen bis hin zu den Prüfkennzeichen und kundeneigenen Vorschlagswerten für die Rollenpflege. Lektion: Transport von Berechtigungskomponenten Benutzerstammsätze in andere Mandanten kopieren Rollen transportieren und das Verhalten im System beschreiben: Mit und ohne Profilinformationen, mit und ohne Benutzerzuordnungen, in einer ZBV Landschaft oder ohne ZBV Prüfkennzeichen mit Hilfe der Transaktion SU25 transportieren das Transportverhalten von Sammel-, Referenz- und abgeleiteten Rollen beschreiben weitere Transportmöglichkeiten nennen 2014 SAP AG. Alle Rechte vorbehalten. 9

16 Kapitel 8 Integration in der Firmenlandschaft Überblick über das Kapitel Ein Teil des Tagesgeschäfts, von einem Administrators, ist die Vergabe und Zuordnung von Berechtigungen an die Endanwender. Oftmals sind die Verknüpfungen bestimmten Regeln und Abläufen unterstellt, die immer einem gleichem Schema folgen. Um diesen regelmäßigen Vorgang und Zeitaufwand zu optimieren, werden hier zwei zusätzliche Methoden der Benutzerverwaltung und Berechtigungsvergabe vorgestellt. Die Zentrale Benutzerverwaltung und die Integration in das Organisationsmanagement. Um Ihnen einen Überblick zu vermitteln, wird an dieser Stelle SAP NetWeaver Identity Management vorgestellt. Dabei wird auch ersichtlich, wie sich die zentrale Benutzerverwaltung erweitern lässt. Lektion: Zentrale Benutzerverwaltung (ZBV) die Funktionsweise der Zentralen Benutzerverwaltung erklären die wichtigsten Schritte zur Einrichtung der Zentralen Benutzerverwaltung nennen Verteilungsregeln für die Benutzerdaten definieren Benutzer zentral anlegen, verwalten und verteilen Systemabgleiche für noch nicht zentrale Benutzer durchführen Lektion: Integration ins Organisationsmanagement Organisationseinheiten im HR-Organisationsmanagement anlegen Rollen mit den Objekten der Aufbauorganisation verknüpfen Benutzer mit den Objekten der Aufbauorganisation verknüpfen Abgleich der indirekten Rollen- und Benutzerzuordnung durchführen Benutzerstammsatz abgleichen Rollen zeitabhängig zuordnen 2014 SAP AG. Alle Rechte vorbehalten. 10

17 Lektion: SAP NetWeaver Identity Management das Konzept von SAP NetWeaver Identity Management verstehen den Aufwand für einen Wechsel von der ZBV zu SAP NetWeaver Identity Management abschätzen 2014 SAP AG. Alle Rechte vorbehalten. 11