Berechtigungen in SAP NetWeaver BW

Transkript

1 Peter John, Peter Kiener Berechtigungen in SAP NetWeaver BW Bonn Boston

2 Auf einen Blick 1 Einleitung Analyseberechtigungen für Einsteiger: Eine praktische Einführung Berechtigungskonfiguration Standardberechtigungen in SAP NetWeaver BW Analyse von Berechtigungsprüfungen und -konfiguration Anforderungsprofile und Lösungsansätze typischer Berechtigungsmodelle in BW Berechtigungsmodelle für Reporting und Planung Performance Migration Analyseberechtigungen für Experten Berechtigungen im SAP Business-Objects Explorer A FAQ B Wichtige DataStore-Objekte für die Generierung C Anleitung Implementierung der Beispiele aus Kapitel D Die Autoren

3 Inhalt Vorwort Einleitung Motivation für das Buch Inhalt Motivation und Entstehung der Analyseberechtigungen Danksagung Analyseberechtigungen für Einsteiger: Eine praktische Einführung OLAP und Datenberechtigungen Vergleich des Berechtigungswesens in OLAP-Systemen und in OLTP-Systemen Berechtigungswesen in SAP NetWeaver BW Vorlagebenutzer, Rolle und Profil Erste Schritte mit Analyseberechtigungen Überblick Benutzer, Query und Berechtigung anlegen Merkmale berechtigungsrelevant machen Berechtigung anlegen Query anlegen Zuordnung zu Benutzer Ausführung und Fehleranalyse Ausführung für eingeschränkte Benutzer Erste Fehleranalyse mit dem Protokoll und Korrektur Leitsätze der Analyseberechtigungen Möglichkeiten der Analyseberechtigungen Variablen gefüllt aus Berechtigungen Aggregationsberechtigung Hierarchieberechtigungen Mehrdimensionale Berechtigungen Klammerung Teilweise Maskierung Anzeigeattribute Zusammenfassung und Fazit

4 Inhalt Die Infrastruktur der Analyseberechtigungen bietet eine Fülle hilfreicher Transaktionen, Oberflächen und Funktionen zur effektiven Konfiguration und Verwaltung. Dieses Kapitel zeigt Ihnen die vielfältigen Möglichkeiten Berechtigungskonfiguration Transaktionsüberblick Die Berechtigungsadministration (Transaktion RSECADMIN) Die drei Hauptfunktionen Berechtigungsprüfungen für Aktivitäten innerhalb der Transaktion RSECADMIN Menü»Zusätze« Berechtigungsrelevanz von Merkmalen konfigurieren Berechtigungspflege Übersicht über die Merkmalsberechtigungen Detailpflege Werteberechtigungen Universalberechtigung 0BI_ALL Detailpflege Hierarchieknoten-Berechtigungen Berechtigungspflege mit SAP NetWeaver BW Analytics Security Objects und Versionen Berechtigungspflege Transport Benutzerzuordnung BW-eigene Zuordnung über die Transaktion RSU Integration in das SAP-Rollenkonzept BI_ALL und SAP_ALL Massengenerierung von Analyseberechtigungen Content-Vorlagen für die Generierung Verwendung der Generierung Beispiel-Anwendungen für die Generierung Hinweise zur Benutzung SAP NetWeaver BW 7.20 Massenpflege und Informationssystem Massenpflege Berechtigungen Massenpflege mit Benutzern Fazit zur Massenpflege In SAP NetWeaver BW gibt es unterschiedliche Arten von Berechtigungen. Sie haben gemeinsam, dass sie sinnvoll implementiert eine dauerhaft stabile Anwendung für Benutzer und Support bieten. Den Teil der BW-spezifischen Berechtigungen abseits der Analyseberechtigungen beschreiben wir in diesem Kapitel Standardberechtigungen in SAP NetWeaver BW Grundlagen Technische Eigenschaften der Berechtigungsobjekte Datenmodellierung und allgemeine Berechtigungen ERP-Quellsystem SAP NetWeaver BW Datenmodellierung

5 Inhalt 4.4 Die wichtigsten Berechtigungsobjekte im Reporting Arbeiten mit BW Queries Integrierte Planung Weitere BW-Services (Broadcaster, BEx Web Application Designer) Einfluss auf das BW-Berechtigungsmodell Berechtigungsvorlagen und SAP-Standard-Rollen Berechtigungsadministration Fazit Analyse von Berechtigungsprüfungen und -konfiguration Ausführen»als eingeschränkter Benutzer« Transaktion RSUDO und Sicherheitsaspekte Probleme mit Benutzername»sy-uname«im User-Exit Das Berechtigungsprotokoll Protokollverwaltung Protokollaufbau Protokollkopf Wertehilfen und Variablen Prüfungsbestandteile Optimierungen Archivierung Changelog Tabellen und Inhalte Reporting und Audit mit BW-eigenen Mitteln Klassische Berechtigungsprotokolle Fazit Anforderungsprofile und Lösungsansätze typischer Berechtigungsmodelle in BW Das Berechtigungsmodell im BW-Projekt Vorüberlegungen Berechtigungsmodell Beginn Ausschließlich Standardberechtigungen oder Analyseberechtigungen? Namensräume Berechtigungsrelevante Merkmale

6 Inhalt Analyseberechtigungen zuordnen Grundmodelle der Standardberechtigungen Einteilung der Benutzertypen Verwendung von Vorlagen Das Rollenmodell Zentralberechtigungsrolle für alle Benutzer Umgang mit bestehenden Standardberechtigungen Aufwände für ein reines Standardberechtigungsmodell Generische Modellansätze InfoProvider-basiertes Modell InfoObject-basiertes Modell Mischformen Zusammenfassung der generischen Modelle Spezialfall integrierte Planung Bestehende Modelle anpassen bzw. erweitern Operative bzw. Customizing-Modelle Variablenbasierte Modelle Generierungsbasierte Modelle Fazit Nach der Theorie geht es nun wieder in die Praxis. Wie implementieren wir sauber und effektiv zuvor entwickelte Berechtigungsmodelle? Darüber wird Ihnen dieses Kapitel Aufschluss geben Berechtigungsmodelle für Reporting und Planung Überblick über die Anwendungsmodelle Namensraum der Berechtigungsmodelle Modell 1 Standardberechtigungen Modell 2 Variablenbasierte Analyseberechtigungen Modell 3 Generierungsbasierte Analyseberechtigungen Modell 4 Analyseberechtigungen und BW-Integrierte Planung Modell 1 Standardberechtigungen Vorlagen und Datenmodell erstellen Vor- und Nachteile des Modells Fazit Modell 2 Variablenbasierte Analyseberechtigungen Standard- in Analyseberechtigungen umgestalten Navigationsattribute und Klammerung einbinden Problemfälle bei mehrdimensionalen Berechtigungen Exit-Lösungsvorschlag bei mehrdimensionalen Berechtigungen

7 Inhalt Hierarchien, Zeitabhängigkeit und Exit-Variablen Vor- und Nachteile des Modells Fazit Modell 3 Generierungsbasierte Analyseberechtigungen Analyseberechtigungen definieren DSOs für die Generierung bereitstellen und füllen Generierung ausführen und kontrollieren Vor- und Nachteile des Modells Fazit Modell 4 Analyseberechtigungen und BW-Integrierte Planung Das Planungsmodell Standardberechtigungen für die Planung erweitern Query für die Planung definieren Test der Berechtigungen in der Planung Exkurs Customer-Exit für Variablen Vor- und Nachteile des Modells Fazit Die Berechtigungsprüfung sollte generell nicht zeitintensiv sein. Um bei der Modellierung keine Probleme zu erzeugen und um bestehende Probleme zu beheben, gehen wir nun auf die Performance bei der Berechtigungsprüfung ein Performance Ablauf der Berechtigungsprüfung Ungeeignete Modellierung Viele kleine Berechtigungen mit wenig Inhalt Zeitintensiv zu mischende Berechtigungen Ungeeignete Selektionen Selektion der Query Auflösung von Hierarchien Customer-Exit Verwendung der Pufferung Performance innerhalb des Customer-Exits Ungünstige Wertübergabe Fazit Analyseberechtigungen sind nach einem Upgrade auf BW 7.0 oder höher verfügbar. Damit sie genutzt werden können, müssen bestehende Berechtigungskonzepte überarbeitet und entsprechend migriert werden Migration Grundlagen Vergleich von altem und neuem Berechtigungskonzept Vorbereitung und Analyse Berechtigungsrelevante Merkmale Liste der RSR-Berechtigungsobjekte Das Prüfungsverhalten im System Identifizieren der kritischen Reportinganwendungen

8 Inhalt 9.4 Aufbau des Migrationskonzeptes Übersicht über das bestehende Berechtigungsmodell Gesamtmigration der Reportingberechtigungen Teilmigration oder Neuaufbau Migration ohne InfoProvider Nacharbeiten bei einer automatisierten Migration Zusammenführen mehrerer RSR-Berechtigungsobjekte Migration von generierungsbasierten Modellen Berechtigungsrelevante InfoObjects, die unter BW 3.x nicht geprüft wurden Migrationsaufwand für Standard- Berechtigungsmodelle Das Backup-Szenario Zusammenfassung der Migrationsmöglichkeiten Halbautomatische Migration von SAP BW 3.x auf SAP NetWeaver BW 7.x Grundlegende Hinweise zur Migration Beispielaufbau einer Migration Schritt 1 Start des Wizards und Auswahl der Benutzer Schritt 2 Berechtigungsobjekte Schritt 3 Zuordnungsmethode Schritt 4 Detailkonfiguration Ergebnis und Auswertung Migration von SAP BW 3.x auf SAP NetWeaver BW Migration von SAP NetWeaver BW 7.0 auf SAP NetWeaver BW Fazit Beleuchten wir nun spezielle Eigenschaften der Analyseberechtigungen in Kombination mit anderen BW-Funktionen. Dabei werden wir viele Detailfragen aus der Praxis behandeln, die beim Kunden speziellere Lösungen erfordern. Sie erfahren hier auch, was im Zusammenspiel mit anderen Features möglich ist Analyseberechtigungen für Experten Herangehensweise Werteberechtigungen Bedeutung der Intervalle in SAP NetWeaver BW Funktionsumfang in Analyseberechtigungen Hierarchieberechtigungen Funktionsumfang Automatische Filterung Winterlandschaften

9 Inhalt Wechselwirkung mit Werteberechtigungen Zeitabhängigkeit Temporaler Hierarchie-Join Nicht eindeutige Hierarchien Intervallhierarchien Fazit Klammerung in Berechtigungen Einfache Klammerung Gemischte Berechtigungen, Mehrfachklammerung, Grenzen Zusammenfassung und Optimierung von Berechtigungen Grundprinzip Kombination Verallgemeinerung Vereinfachen (Mischen) von Berechtigungen Vollständige Optimierung Generalisierung auf beliebig viele Dimensionen Ablauf-Optimierungen Integrierte Planung Variablen, Exits und BAdIs Variablen in Berechtigungen Das BAdI für virtuelle Berechtigungen mit SAP NetWeaver BW Fazit In diesem Kapitel werden wir einen Ausflug in die Welt des SAP BusinessObjects Explorers machen Berechtigungen im SAP Business-Objects Explorer Replikation aus SAP NetWeaver BW Ergebnis im Explorer Einschränkungen Benutzergruppen Diskussion und Fazit Anhang A FAQ B Wichtige DataStore-Objekte für die Generierung C Anleitung Implementierung der Beispiele aus Kapitel D Die Autoren Index

10 Für Anwender ohne viele Vorkenntnisse in den Bereichen Berechtigungen und SAP NetWeaver BW ist es reizvoll, zu ersten Ergebnissen zu kommen, ohne die gesamte Komplexität der Analyseberechtigungen erfassen zu müssen. Dieses Kapitel führt Sie zügig und Schritt für Schritt zu typischen Anwendungsbeispielen am System. 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung Bei allen Versionen bis Release SAP Business Information Warehouse (SAP BW) 3.5 beruhte die gesamte Infrastruktur der BW-Berechtigungen auf der Infrastruktur, die durch die SAP R/3-Basis definiert wurde. Das bedeutet, alle Berechtigungsinhalte wurden in Rollen und Profilen abgelegt, deren Struktur auf Berechtigungsobjekten beruht. Ab dem Release SAP NetWeaver Business Warehouse 7.0 (zuvor SAP Net- Weaver BI 7.0) wurde eine vollständig neue Infrastruktur geschaffen: die Berechtigungen für Analyse und Reporting, kurz Analyseberechtigungen. In diesem Kapitel werden wir die Möglichkeiten des Berechtigungswesens im Reporting von BW vorführen. Dazu gehören verschiedene Reportingfeatures wie Intervalle, Hierarchien, Aggregationsberechtigung, Klammerung, mehrdimensionale Berechtigungen, Berechtigungsvariablen und Maskierung. Vorkenntnisse Wir setzen wenige Kenntnisse des klassischen Berechtigungswesens voraus. Eine tiefere Beschäftigung mit dem klassischen Berechtigungswesen ist also für das Verständnis dieses Kapitels nicht notwendig, aber für den täglichen Umgang mit BW hilfreich und darum empfehlenswert. 2.1 OLAP und Datenberechtigungen Die Anforderungen an Berechtigungen in Softwaresystemen mit transaktionaler OLTP-Logik (OLTP = Online Transaction Processing), wie etwa in der Warenwirtschaft verwendet, unterscheiden sich von Softwaresystemen mit 23

11 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung OLAP-Logik in prinzipieller Weise. Unter Systemen mit OLAP-Logik (OLAP = Online Analytical Processing) versteht man Systeme mit benutzerabhängigen und interaktiv veränderlichen Sichten auf Daten. SAP NetWeaver BW umfasst beide Welten und verbindet Lösungen für beide Anforderungen miteinander. Kurz gesagt, ist die Lösung für die OLTP- Berechtigungen technisch identisch mit den bekannten R/3- und NetWeaver- Basis-Berechtigungen. Die Lösung für das OLAP-Umfeld sind die Analyseberechtigungen. Wir werden uns im Folgenden zwar mit beiden Varianten beschäftigen, der Schwerpunkt wird jedoch bei den vielfältigeren Analyseberechtigungen liegen Vergleich des Berechtigungswesens in OLAP-Systemen und in OLTP-Systemen Im transaktionalen Umfeld (OLTP = Online Transactional Processing) wie in SAP ERP beziehungsweise SAP NetWeaver sind die Anforderungen an ein Berechtigungswesen in der Regel von der Art, dass vor der Ausführung einer Transaktion entschieden wird, ob ein Benutzer die erforderlichen Berechtigungen für eine bestimmte Aktion besitzt oder nicht. Die Prüfung kann die reine Ausführung der Transaktion selbst enthalten, wird jedoch gewöhnlich auf einer feiner granulierten Ebene einzelner Aktivitäten stattfinden. Die Struktur und die Objekte der Prüfung sind normalerweise vormodelliert und festgelegt. Beispielsweise kann ein Benutzer die Berechtigung für das Anlegen einer Bestellung haben oder nicht und die zugehörige Aktion entsprechend ausführen oder nicht. Berechtigungsobjekte werden in der Regel ausgeliefert. So ist es auch in SAP NetWeaver BW, hier wird eine Reihe BWspezifischer Berechtigungsobjekte ausgeliefert. Ausnahme bei Auslieferung von Berechtigungsobjekten Eine Ausnahme stellt das alte Berechtigungskonzept der Reportingberechtigungen in BW dar, bei dem Kunden selbst Berechtigungsobjekte angelegt haben. In einem OLAP-System hingegen geht es in der Regel um wenige Transaktionen wie etwa den BEx Query Designer oder die Ausführung einer Query im Web oder im BEx Analyzer. Dahinter verbergen sich jedoch umfangreiche Datenzugriffe auf verschiedene Datenmengen oder auch verschiedene Sichten auf gleiche Daten, die in einer Query definiert sind. Eine transaktionale Berechtigungsprüfung stellt hier nur die prinzipielle Ausführungsberechtigung sicher, während eine nachfolgende OLAP-Berechtigungsprüfung den 24

12 OLAP und Datenberechtigungen 2.1 spezifischen Datenzugriff analysiert und gegebenenfalls den konkreten Zugriff ablehnt. Transaktionale Berechtigungsprüfung Beispielsweise könnte ein Benutzer berechtigt sein, den Umsatz anzuschauen, der mit Kunde»Meier AG«zur Produktgruppe»Waschmittel«gemacht wurde, jedoch könnte der Zugriff für den Umsatz mit dem Kunden»Meier AG«zur Produktgruppe»Kosmetika«abgelehnt werden. Das alles geschieht in der Regel innerhalb einer einzigen Transaktion Berechtigungswesen in SAP NetWeaver BW Wie bereits erwähnt, enthält BW beide Typen von Berechtigungsprüfungen: 1. Die transaktionale Berechtigungswelt, die über klassische Berechtigungsobjekte modelliert wird; diese Berechtigungsobjekte sind vormodellierter Teil der Auslieferung. 2. Und es gibt in BW die Welt der Zugriffsberechtigungen auf Bewegungsdaten in verschiedensten Kennzahlen, also die OLAP-Welt, die sich aus der Modellierung von BW Queries und der Navigation erschließt. Orientierungshinweis und Vorgehensweise Wir werden in Kapitel 4,»Standardberechtigungen in SAP NetWeaver BW«, noch genauer auf die wichtigeren Objekte eingehen. Im vorliegenden Kapitel werden wir für unsere Beispiele nur die nötigsten Objekte wie etwa S_RS_COMP für die Query-Ausführung behandeln. Die Berechtigungsprüfungen mit Berechtigungsobjekten erfordern zwangsläufig die Verwendung von Rollen beziehungsweise Profilen, die man Benutzern zuordnet. Für die Analyseberechtigungen haben wir die Wahl, ob wir Rollen und Profile verwenden oder ganz in der Welt von BW bleiben möchten. Im Normalfall wird man die Analyseberechtigungen immer auch in ein Rollenkonzept einbinden. Wir werden aber beide Möglichkeiten vorstellen Vorlagebenutzer, Rolle und Profil Da man aber insgesamt in BW nicht ohne die Benutzer- und Rollenpflege auskommt denn es gibt ja immer auch noch klassische Berechtigungsprüfungen, legen wir als Beispiel einen Benutzer an, der eine Rolle mit einigen zentralen Eigenschaften zugeordnet bekommt. Er soll insbesondere alle Queries ausführen dürfen. 25

13 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung Anmerkung zum Beispielbenutzer Der R/3-Berechtigungsexperte wird das Vorgehen bereits kennen. Der Beispielbenutzer dient als Vorlagebenutzer für die weitergehenden Beispiele zu den Analyseberechtigungen und sollte deshalb so oder so ähnlich, wie wir es jetzt zeigen, angelegt werden. Möchte ein Administrator einem seiner Anwender die Berechtigungen für eine bestimmte Aktion geben, so geschieht dies im Normalfall über die Definition einer Rolle. Berechtigungen für Transaktionen und BW Queries vergeben Wir möchten einem Benutzer Berechtigungen für die Transaktionen RSRT und SU53 geben. Das sind zwei nützliche Transaktionen für das Testen von Berechtigungen. Dazu verwenden wir eine vordefinierte Struktur in Form des Berechtigungsobjektes S_TCODE, das für die Überprüfung der Ausführungsberechtigung von Transaktionen zuständig ist. Außerdem wollen wir einen Benutzer kreieren, der BW Queries ausführen kann. Wir werden hier erlauben, dass er alle BW Queries ausführen darf, aber das ist nicht zwingend. Die Ausführungsberechtigung von Queries wird mit den Berechtigungsobjekten S_RS_COMP und S_RS_COMP1 geregelt. Profil/Rolle anlegen Wir starten nun die Transaktion zur Rollenpflege (PFCG) und legen mit dem Button Einzelrolle eine Rolle mit dem technischen Namen Z_AUTH_BASIS an (siehe Abbildung 2.1). Abbildung 2.1 Rolle anlegen in der Rollenpflege PFCG Dann geben wir eine Beschreibung ein und speichern das Ergebnis. Das Gerüst der Rolle ist nun fertig. 26

14 OLAP und Datenberechtigungen 2.1 Wählen Sie anschließend die Registerkarte Berechtigungen aus, die noch mit einer roten Ampel markiert ist. Diese zeigt an, dass noch keine Berechtigungen gepflegt wurden (siehe Abbildung 2.2). Abbildung 2.2 Änderungsmodus der Rollenpflege In der Ansicht Ändern von Rollen könnten Profilnamen gewählt werden. Wir ignorieren jedoch die eingabebereiten Felder und klicken auf das Icon für Berechtigungsdaten ändern. Die Frage, ob Sie sichern möchten, bestätigen Sie. Sie erreichen dann eine Auswahl von Rollen, die als Vorlagen dienen können. Diese Vorlagen ignorieren wir hier jedoch (siehe Button Keine Vorlage auswählen in Abbildung 2.3). Stattdessen wählen wir die manuelle Eingabe (siehe Button Manuell in Abbildung 2.4), und geben in das Feld Berechtigungsobjekt unsere Berechtigungsobjekte ein, für die wir Berechtigungen erteilen wollen. In unserem Fall handelt es sich um folgende Berechtigungsobjekte: S_TCODE für Transaktionsberechtigungen, S_RS_COMP und S_RS_COMP1 für die Query-Ausführung (siehe Abbildung 2.4). Die Wertehilfe bietet alle verfügbaren Berechtigungsobjekte. 27

15 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung Abbildung 2.3 Vorlageauswahl ablehnen Abbildung 2.4 Manuelle Auswahl eines Berechtigungsobjektes Wir bestätigen mit und erhalten eine Listenansicht. Wenn Sie die Hierarchiedarstellung aufklappen (markieren Sie dazu die erste Zeile, und klicken Sie auf den Button ) und im Menüpunkt Hilfsmittel den Eintrag Technische Namen ein anklicken, erhalten Sie eine Darstellung wie in Abbildung 2.5 und Abbildung 2.7 (mit technischen Namen). Wir können nun die konkreten Werte eintragen, die wir berechtigen wollen. Diese Werte bestehen in unserem geplanten Beispiel aus den Namen der Transaktionen, nämlich RSRT und SU53, sowie den Einträgen für S_RS_ 28

16 OLAP und Datenberechtigungen 2.1 COMP und S_RS_COMP1. Wenn Sie das Bleistift-Icon anklicken, können Sie mit der Eingabe beginnen. Für die Aktivität (siehe Abbildung 2.6) benötigt unser Testuser nur 16, also Ausführen. Für alle anderen Felder tragen Sie einfach Gesamtberechtigung ein, es sei denn, Sie möchten den Benutzer stärker einschränken, beispielsweise auf einen oder mehrere InfoCubes oder bestimmte InfoAreas. Die gelben Stern-Icons ändern sich bei korrekter Eingabe in grüne Stern-Icons. Das Ergebnis sollte aussehen wie in Abbildung 2.7. Abbildung 2.5 Berechtigungen pflegen Abbildung 2.6 Eingabe der berechtigten Werte für die Aktivität 29

17 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung Abbildung 2.7 Fertige Berechtigungsvergabe Nun sollten Sie das Speichern nicht vergessen. Anschließend müssen wir noch sicherstellen, dass die Berechtigungen auch erzeugt werden. Dazu starten wir die Generierung des Profils mit dem Button. Wenn Sie dies vergessen, werden Sie durch ein Popup daran erinnert (siehe Abbildung 2.8). Abbildung 2.8 Profil speichern und generieren Dann haben Sie noch einmal die Möglichkeit, den Namen des Profils zu ändern, falls erwünscht, und etwa eine passendere Beschreibung zu wählen (siehe Abbildung 2.9). Bestätigen Sie den automatischen Vorschlag für den Profilnamen, der meist mit»t_«beginnt. Damit enthält die Rolle ein Profil mit der Berechtigung RSRT und SU53 für den Transaktionscode S_TCODE sowie die Ausführungsberechtigung für Queries. 30

18 OLAP und Datenberechtigungen 2.1 Abbildung 2.9 Profilname und -beschreibung Rolle einem Benutzer zuweisen Diese Rolle möchten wir nun einem Benutzer zuweisen, der uns als Vorlagebenutzer dienen soll. Dazu starten wir die Benutzerpflege mit der Transaktion SU01 und geben einen Benutzernamen ein (siehe Abbildung 2.10). Abbildung 2.10 Einstieg in die Benutzerpflege SU01 Mit Anlegen gelangen wir in die Detailpflege, in der die Pflichteingabefelder der Registerkarten Adresse und Logondaten ausgefüllt werden müssen. Das ist weitgehend selbsterklärend. Wichtiger ist die Registerkarte Rollen. Dort werden die Rollen eingetragen, die dem Benutzer zugeordnet werden sollen, in unserem Falle also Z_AUTH_BASIS. Nach Betätigen der ( )-Taste wird die Rolleninformation übernommen (siehe Abbildung 2.11). Wenn Sie nun noch auf die Registerkarte Profile gehen, finden Sie dort das Profil zu der Rolle, das die eigentlichen Berechtigungen enthält (siehe Abbildung 2.12). Das Symbol deutet an, dass das Profil generiert worden ist. Zum Abschluss das Speichern nicht vergessen! 31

19 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung Abbildung 2.11 Rollenvergabe in der Benutzerpflege Abbildung 2.12 Profil zur Rolle Z_AUTH_BASIS Zusammenfassung Allgemein kann man, etwas vereinfacht, Folgendes festhalten: Für klassische R/3-Berechtigungen gilt, dass um die Berechtigung für einen bestimmten Vorgang zu erhalten einem Benutzer eine Rolle mit einem Profil zugeordnet werden muss. Das Profil enthält konkrete Ausprägungen der Felder als Berechtigungen zu einem Berechtigungsobjekt. Die Berechtigungsobjekte unseres Beispiels für die Vorlage sind S_TCODE, S_RS_COMP und S_RS_COMP1. Der Profilname wurde generiert (der technische Name beginnt in der Regel mit»t_«). Die Berechtigung enthält die konkrete Ausprägung SU53 für das Feld TCD (Transaktionscode). Das Berechtigungsobjekt S_TCODE ist natürlich unabhängig von SAP Net- Weaver BW und eines der wichtigsten Objekte überhaupt. Außerdem ist es 32

20 OLAP und Datenberechtigungen 2.1 sehr einfach gestrickt, da es nur ein Feld für den Transaktionscode enthält. Alle Berechtigungsobjekte der SAP-Landschaft funktionieren analog, können aber mehrere Felder enthalten (theoretisch bis zu zehn). Bedeutung des Profils Allgemein ist zu beachten, dass die Information über die Berechtigungen eines Benutzers in den Profilen steht, nicht in der Rolle. Dass die Rolle das entscheidende Objekt sei ist ein häufiges Missverständnis. Es kann beispielsweise sein, dass zwar eine Rolle eingetragen ist, das zugehörige Profil aber fehlerhaft ist, etwa weil es nicht generiert wurde. Die Situation kann zusätzlich noch dadurch unübersichtlicher werden, dass es eine zentrale Benutzerverwaltung gibt. Darauf werden wir hier jedoch nicht weiter eingehen. Der Experte weiß natürlich auch, dass man speziell Berechtigungen für Transaktionen, also zum Berechtigungsobjekt S_TCODE, über einen eigenen Menüpunkt in der Rollenpflege vergeben kann. Allgemein kann man häufig bestimmte wichtige Berechtigungskombinationen einfacher vergeben, als hier dargestellt. Wir sind jedoch den»langen Weg«gegangen, weil dieser für die kundeneigenen Modelle der BW-Berechtigungen wesentlich ist. Das galt in noch größerem Maße für die alten Reportingberechtigungen, gilt aber auch für die Rollenanbindung der Analyseberechtigungen. Transaktionen ausführen Unser Beispielbenutzer BWAUTH00 hat noch nicht sehr viele Berechtigungen, aber er darf sich nun am System anmelden und nachsehen, welche Berechtigungsprüfung bei ihm selbst zuletzt fehlgeschlagen ist. Lassen wir ihn also testweise die Transaktion PFCG ausführen, zu der er nicht berechtigt ist. Er erhält eine Fehlermeldung. Anschließend lassen wir ihn die Transaktion SU53 ausführen, zu der er nun berechtigt ist. Der Meldungstext informiert uns, dass dem Benutzer die Berechtigungen für die Transaktion PFCG fehlt. Wenn wir also möchten, dass er diese Transaktion ausführen darf, können wir ihm auch diese Berechtigung zuordnen. Eine fehlgeschlagene klassische Berechtigungsprüfung kann mit Ausführen der Transaktion SU53 analysiert werden, die anzeigt, welche Berechtigungskombination getestet wurde. Ein häufiges Missverständnis ist die Annahme, dass die Transaktion SU53 auch für BW-Datenberechtigungen, also für die Analyseberechtigungen funktioniere. Diese Annahme ist falsch: 33

21 2 Analyseberechtigungen für Einsteiger: Eine praktische Einführung Fehlgeschlagene Berechtigungsprüfungen mit der Transaktion SU53 analysieren Die Transaktion SU53 hat für die Analyseberechtigungen keine Bedeutung, alle vermeintlichen Einträge gehen auf einen technischen Seiteneffekt zurück. Die Prüfungen der Analyseberechtigungen laufen nämlich nicht über den ABAP-Befehl authority-check. Sie sind viel komplexer und ganz anders strukturiert. Die Transaktion SU53 wäre dafür ungeeignet. Wir kommen später noch mehrmals darauf zurück. Es gibt aber ein ausführliches Berechtigungsprotokoll, mit dem wir uns auch beschäftigen werden (siehe Abschnitt 5.2,»Das Berechtigungsprotokoll«). 2.2 Erste Schritte mit Analyseberechtigungen SAP NetWeaver BW ist nicht nur ein Datenspeicher im Sinne eines Data Warehouses oder eines Warehouse Management Tools, sondern auch ein OLAP-Analysewerkzeug. Die gesamte Struktur BW ist auf die performante Analyse von Massendaten ausgelegt. Die Analyse geschieht interaktiv in Form von Reports oder BEx Queries. Die Sichten oder Aufrisszustände der Queries auf die Daten sind interaktiv durch Slice-, Dice- und Filter-Aktionen des Anwenders veränderlich. Nehmen wir als Beispiel eine der möglichen Sichten auf einen BW-InfoProvider, die der Vorstellung des Anwenders sehr nahekommt und aus Auswertungssicht äquivalent zu allen anderen denkbaren Sichten auf die Daten ist: eine Tabelle. Nehmen wir also an, die Daten sind als Umsatz- und Stückzahldaten in Form einer Tabelle abgelegt (siehe Tabelle 2.1). Jahr Land Typ Vertriebskanal Produktgruppe Produkt Anzahl (Stück) Umsatz (Euro) 1998 DE Software Internet Office Write DE Software Vertreter Office Write DE Software Internet Office Write IT Software Internet OS Linux IT Software Einzelhandel OS Linux Tabelle 2.1 Beispieldatensatz in vollständiger Tabellenform 34

22 In SAP NetWeaver BW gibt es unterschiedliche Arten von Berechtigungen. Sie haben gemeinsam, dass sie sinnvoll implementiert eine dauerhaft stabile Anwendung für Benutzer und Support bieten. Den Teil der BW-spezifischen Berechtigungen abseits der Analyseberechtigungen beschreiben wir in diesem Kapitel. 4 Standardberechtigungen in SAP NetWeaver BW Das zentrale Thema dieses Buches sind die Analyseberechtigungen. Diese Art von Berechtigung ist aber nicht die einzige, die man in einem SAP NetWeaver BW-System zu beachten hat. Darauf wurde bereits in Kapitel 2,»Analyseberechtigungen für Einsteiger: Eine praktische Einführung«, hingewiesen. Im Laufe dieses Kapitels werden wir die Gruppe der transaktionalen Berechtigungen (oder Standardberechtigungen) im Detail betrachten. Jeder Benutzer, der mit BW arbeitet, benötigt diese Berechtigungen. Eine Prüfung der Standardberechtigungen erfolgt beispielsweise beim Aufruf einer Transaktion, bei der Erstellung eines InfoProviders und auch bei der Ausführung einer BW Query oder einer BW-Arbeitsmappe. Wir werden uns zuerst die Grundlagen dieser Gruppe von Berechtigungen im Detail ansehen. Danach beschreiben wir die wichtigsten Berechtigungsobjekte im BW Umfeld. Der Aufbau ist hier dem Datenfluss eines Datenmodells in BW nachempfunden. Wir beginnen im Quellsystem und gehen dann Schritt für Schritt über die Extraktion und den Datenfluss in BW bis zum Reporting. 4.1 Grundlagen Unabhängig davon, welches Berechtigungskonzept Sie für das SAP NetWeaver BW Reporting im Customizing des Systems (Transaktion RSCUSTV23) eingestellt haben, werden Standardberechtigungen immer geprüft. 201

23 4 Standardberechtigungen in SAP NetWeaver BW Berechtigungskonzepte in SAP NetWeaver BW Bis zum Release SAP Business Information Warehouse 3.5 hatte man nur die Möglichkeit, das Konzept der Reportingberechtigungen zu verwenden. Ab Release SAP NetWeaver Business Warehouse 7.0 stehen die Analyseberechtigungen zur Verfügung. Für die unterschiedlichen»rollen«, die Benutzer in einem Unternehmen erfüllen, benötigen Sie dementsprechend unterschiedliche Standardberechtigungen. Es gibt den Reportingbenutzer, der Queries oder Arbeitsmappen ausführen darf. Zumeist erfüllt ein kleiner Kreis von Benutzern die Rolle der sogenannten Power-User, die Anwendungen wie Queries (zumeist in eigenen Namensräumen) oder Arbeitsmappen selbst erstellen und anderen Benutzern über das Menü einer Rolle zuordnen. Am Beginn eines SAP NetWeaver BW-Projekts stehen jedoch meistens die Projektmitarbeiter und Entwickler im Vordergrund. Diese Gruppe soll das erarbeitete Datenmodell am System umsetzen. Auch sie benötigen dafür Standardberechtigungen, die nicht notwendigerweise etwas mit dem Reporting zu tun haben. Denn der erste Schritt in einem BW-Projekt ist, einen Datenfluss innerhalb des Data Warehouses zu erstellen, erst dann ist es möglich, ein Reporting darauf aufzusetzen. Die letzte Gruppe von Benutzern, die wir ansprechen, sind die Mitarbeiter im Unternehmen, die für die Wartung zuständig sind. Sie betreuen bereits am System implementierte Datenmodelle und das dazugehörige Reporting am System. Nachdem Projekte abgeschlossen wurden, liegt es bei den Mitarbeitern der Wartung des Systems, den Endanwender beim Einsatz oder der Adaptierung des Reportings und bei der Analyse von Problemen zu unterstützen. Dafür sind umfangreiche Standardberechtigungen notwendig. Reine Reportingberechtigungen werden meist nicht ausreichen, damit der gesamte Datenfluss inklusive aller Veränderungen der Daten von der Quelle bis zum finalen InfoProvider kontrolliert werden kann. Die Abbildung 4.1 stellt die Rollen- und Systemverteilung in einem SAP Net- Weaver BW-Projekt auf einfache Weise dar. Es ist anzumerken, dass wir hier nicht auf die verteilte Systemlandschaft im Entwicklungs-, Qualitätssicherungs- und Produktivsystem eingehen. Wir verwenden in diesem Beispiel nur eine Systemschicht. Die Gruppen Reporting- und Power-User greifen jeweils auf Berichtsdaten in BW zu, wobei der Power-User auch neue Berichte erstellen darf. Viele Benutzer des Reportings haben selbstverständlich auch Berechtigung im SAP 202

24 Grundlagen 4.1 ERP-System, um dort innerhalb ihrer Applikationen entsprechende Buchungen durchzuführen. Erst diese Buchungen bilden die Datenbasis für das Reporting in SAP NetWeaver BW. Systeme Rollen SAP NetWeaver BW Finanzreporting Umsatzplanung Reportingbenutzer Lesender Zugriff Power-User Berichtersteller Extraktion Projekt-Ressource Konzept und Implementierung SAP ERP Applikation Support Wartung und Adaption Abbildung 4.1 Systeme und Rollen im SAP NetWeaver BW-Umfeld In Abbildung 4.1 wird innerhalb eines Projekts eine Umsatzplanung implementiert. Der Projektmitarbeiter benötigt dazu ausreichende Berechtigung in BW und im Quellsystem. Andere Rollen greifen derzeit nicht auf die Umsatzplanung zu, da das Projekt erst in der Phase der Umsetzung ist und noch nicht an die Endanwender und die Wartung übergeben wurde. Die Wartung betreut bereits die Anwendung der Profit-Center-Rechnung in BW. Um die Beladung sicherzustellen und den Benutzer im Reporting unterstützen zu können, sind entsprechende Berechtigungen in BW und auch im Quellsystem erforderlich. Wichtig für die Projektdauer Damit SAP NetWeaver BW-Implementierungen bzw. die Umsetzung von Projekten erfolgreich und vor allem zeitgerecht abgewickelt werden können, ist es wichtig, rechtzeitig das Berechtigungskonzept zu bedenken. Da der Umgang mit Berechtigungen in Unternehmen immer ein kritisches Thema darstellt, kann es rasch zu einem Verzug im Zeitplan kommen, wenn das Konzept nicht ausgereift ist und nicht ausreichend getestet wurde. 203

25 4 Standardberechtigungen in SAP NetWeaver BW 4.2 Technische Eigenschaften der Berechtigungsobjekte Der technische Aufbau von Standardberechtigungsobjekten ist sehr einfach. Im Wesentlichen bestehen sie aus dem Objektnamen wie z.b. S_RS_COMP und aus maximal zehn Berechtigungsfeldern, die Werte aufnehmen können. Ein Berechtigungsfeld kann unterschiedliche Werte darstellen. Jedes Objekt ist einer Objektklasse zugeordnet. Mit Hilfe der Transaktion SU21 (Pflege der Berechtigungsobjekte) erhält man eine gute Übersicht über die unterschiedlichen Klassen, wie Abbildung 4.2 verdeutlicht. Abhängig davon, welche Art von SAP-System man im Einsatz hat (ERP, CRM, APO, BW etc.) bzw. welche Applikationen installiert sind, findet man unterschiedliche Klassen von Berechtigungsobjekten. Natürlich gibt es auch systemübergreifende Komponenten wie die der SAP-Basis, worunter beispielsweise S_RFC fällt. Wir konzentrieren uns aber hauptsächlich auf die Klasse der RS-Berechtigungen (Business Information Warehouse, siehe Abbildung 4.2). Abbildung 4.2 Transaktion SU21 Übersicht über die Berechtigungsobjektklassen Die meisten Berechtigungsobjekte werden von SAP ausgeliefert und können nicht mehr verändert werden, sie sind im SAP-Code als zu prüfende Objekte 204

26 Technische Eigenschaften der Berechtigungsobjekte 4.2 hinterlegt. Das ist nicht so bei der Objektklasse der RSR-Berechtigungen (Business Information Warehouse Reporting 2). Diese enthält die selbstdefinierten Berechtigungsobjekte, die bis zu SAP BW 3.x ausschließlich im Einsatz waren. Die Berechtigungsfelder eines Objekts können unterschiedlicher Natur sein. Es kann z.b. der technische Name eines InfoCubes oder eine Transaktion eingetragen werden. Der Aufbau der Objekte wird grafisch einfach und verständlich in der Transaktion SU21 dargestellt. Exemplarisch ist in Abbildung 4.3 das für Reportingzwecke wichtige BW-Objekt S_RS_COMP zu sehen. Abbildung 4.3 Aufbau des Berechtigungsobjekts S_RS_COMP In der Transaktion SU21 finden wir für jedes Berechtigungsobjekt eine genaue Beschreibung der Funktion, die über den Button Dokumentation zum Objekt anzeigen eingeblendet werden kann. Diese ist sehr hilfreich, denn es wird jedes Feld einzeln erklärt und dessen mögliche Ausprägungen genannt. Daher ist es einfacher, vordefinierte Werte für Berechtigungsfelder zu interpretieren. Unser Beispielobjekt S_RS_COMP besteht aus fünf Feldern. Das Feld RSZ- COMPTP bestimmt den Typ einer Reportingkomponente, der berechtigt 205

27 4 Standardberechtigungen in SAP NetWeaver BW wird. Dabei handelt es sich um ein Feld mit vordefinierten Werten. Was damit gemeint ist und welche Werte man am System vergeben kann, zeigt die Dokumentation des Berechtigungsobjekts (siehe Abbildung 4.4). Abbildung 4.4 Transaktion SU21 Dokumentation des Feldes RSZCOMPTY Die fett markierten Kürzel in Abbildung 4.4 sind entsprechend in den Berechtigungen des Benutzers zu hinterlegen. Die Erklärung des Feldes darf nicht falsch interpretiert werden, der Benutzer darf nicht automatisch mit der Vergabe von S_RS_COMP Reportingkomponenten bearbeiten. Die Art, wie ein Benutzer auf Komponenten zugreift, wird immer über die Aktivität (Berechtigungsfeld ACTVT) geregelt. Die Kombination aus den Feldwerten und der Aktivität entscheidet also darüber, ob ein Benutzer eine Query erstellen oder nur ausführen darf. Wie vergibt man die Gesamtberechtigung? Unter der Gesamtberechtigung versteht man die Berechtigung auf alle Ausprägungen eines Berechtigungsfeldes in einem Berechtigungsobjekt. Eine Gesamtberechtigung wird immer mit * (Stern) vergeben. Dies gilt auch für das Berechtigungsobjekt S_RS_AUTH. Wenn man hier jedoch die Berechtigung 0BI_ALL vergibt, dann hat dies die gleiche Wirkung, als würde man * (Stern) vergeben, und der Benutzer erhält eine Gesamtberechtigung für das Reporting. In der Transaktion SU21 werden über den Button Zulässige Aktivitäten alle zur Vergabe möglichen Aktivitäten angezeigt (für S_RS_COMP siehe Abbildung 4.5). Soll z.b. ein beliebiges Objekt (InfoCube, Query etc.) geändert werden, wird die Aktivität 02 geprüft. Möchte man sich nur die Definition eines Objekts ansehen, ohne dieses ändern zu wollen, wird auf Aktivität 03 geprüft. Wenn wir das auf die verschiedenen Benutzerrollen im Unternehmen umlegen, dann benötigen diese unterschiedliche Aktivitäten. Der Power-User darf angelegte Berichte ändern und wird somit für die Aktivität 02, Ändern, 206

28 Technische Eigenschaften der Berechtigungsobjekte 4.2 berechtigt sein. Hingegen darf der Reportingbenutzer diese nur ausführen, daher ist er zur Aktivität 03, Anzeigen, berechtigt. Das Berechtigungsfeld»Aktivität«(ACTVT) Dieses Berechtigungsfeld hat im SAP-System eine besondere Bedeutung. Es wird in beinahe allen SAP-Standardberechtigungsobjekten verwendet und dient dazu, die Art der Tätigkeit, für die ein Benutzer berechtigt ist, zu steuern. Wie gerade erwähnt, wird bei der Änderung einer Query die Aktivität 02 und bei der einfachen Anzeige die Aktivität 03 geprüft. Diese Zahlwerte und deren Bedeutung gelten für alle Berechtigungsobjekte des Systems. Ein Benutzer benötigt für eine Änderung immer 02 und bei der Anzeige 03. Die Werte, die für das Berechtigungsfeld ACTVT vergeben werden können, können in der Transaktion SU20 nachgelesen werden. Dort wählen Sie das Feld ACTVT aus und erhalten über den Button Wertehilfe alle im System gepflegten Aktivitäten aufgelistet. Abbildung 4.5 Aktivitäten für S_RS_COMP Technisch sind die Standardberechtigungen komplett von den Analyseberechtigungen getrennt. Über das ausgelieferte Standardberechtigungsobjekt S_RS_AUTH stehen die beiden Arten jedoch in Zusammenhang (Details dazu finden Sie in Abschnitt 3.5.2,»Integration in das SAP-Rollenkonzept«). Die Standardberechtigungen werden direkt über den eingebauten ABAP- Befehl AUTHORITY-CHECK abgefragt, wie in Abbildung 4.6 anhand der Berechtigungsprüfung für das BW-Standardberechtigungsobjekt S_RS_COMP zu sehen ist. Die Vergabe von Standardberechtigungen erfolgt über das Rahmenwerk der SAP-Basis. Die zentrale Rolle spielt die Transaktion PFCG, die Rollenpflege. Dort werden Berechtigungsprofile für Rollen angelegt. Die Berechtigungen werden direkt innerhalb des Pflegedialogs erzeugt, im Gegensatz zu den 207

29 4 Standardberechtigungen in SAP NetWeaver BW Analyseberechtigungen, die vorab mit unterschiedlichen Konstellationen bzw. Ausprägungen innerhalb der Transaktion RSECADMIN erstellt werden. Abbildung 4.6 Berechtigungsprüfung für S_RS_COMP Bei den Analyse- und Standardberechtigungen ist auch der Berechtigungstrace unterschiedlich. Die klassischen Berechtigungsobjekte können mit Hilfe der Transaktion ST01 (Systemtrace) aufgezeichnet werden. Hingegen werden Analyseberechtigungen mit einem eigenen Protokoll aufgezeichnet, das in der Transaktion RSECPROT abgerufen werden kann. Details zu den unterschiedlichen Protokollen werden in Kapitel 5,»Analyse von Berechtigungsprüfungen und -konfiguration«, erläutert; spezielle Informationen zum Trace der Transaktion ST01 finden Sie in Abschnitt 5.4,»Klassische Berechtigungsprotokolle«. In den kommenden Abschnitten gehen wir auf viele Standardberechtigungsobjekte genauer ein. Es handelt sich um Berechtigungen, die für die Modellierung von Datenflüssen am System erforderlich sind bzw. vergeben werden können genauso wie Berechtigungen für das Reporting und weitere Services, die in BW zur Verfügung stehen. Die weiteren Erläuterungen sind nicht als vollständige Liste aller geprüften Berechtigungsobjekte zu verstehen, sondern als Auszug aus den zentralen Objekten, die beim Arbeiten mit Berechtigungen in SAP NetWeaver BW bekannt sein sollten. 4.3 Datenmodellierung und allgemeine Berechtigungen Wir gehen einmal von der Annahme aus, dass ein SAP ERP-System der Lieferant der Daten für das BW Reporting ist. Deshalb müssen für die Implementierung eines Projekts Berechtigungen auf dem BW-System und dem ERP-System vergeben werden. In Tabelle 4.1 sind die wichtigsten Berechtigungsobjekte für Arbeiten am Quellsystem und innerhalb der Warehousing Workbench in BW aufgelistet. Auf welchem System die Berechtigungsobjekte vorhanden und zu berechtigen sind, geben die Spalten BW bzw. ERP an: Das X bedeutet, dass Berechtigungsobjekte vorhanden und zu berechtigen sind. 208

30 Index $$$_ Benutzergruppe * Gesamtberechtigung * Muster + Muster 0BI_ALL 141, 163, 249, 285, 299, 603 Aktualisieren 115 0HIER_NODE 147, 282, 538 0TCA_DS TCA_HIE 294 0TCA_UA 294 0TCA_VAL 294 0TCAACTVT 40, 50, 136, 265, 599 0TCAIFAREA 151 0TCAIPROV 40, 50, 125, 133, 151, 265, 285, 515, 599 0TCAKYFNM 91, 102, 127, 128, 137, 513 0TCAVALID 40, 50, 125, 134, 265, 286, 523, 530, 599 0TCTADFROM 169 0TCTAUTHH 503 0TCTIOBJNM 170 0TCTOPTION 169 0TCTSIGN 169 0TCTUSERNM 167 1HIER_REST 147, 538 1NODENAME 538 A Ablauf-Optimierung 587 ACTVT 515 Adobe Document Service 238 Aggregation 59 Aggregationsberechtigung 35, 41, 59, 122, 123, 261, 271, 531, 608 Aggregationsebene 589 Anlegen 631, 633 Merkmalsselektion 633 Aktivität Ausführen (16) 589 Standardberechtigungsobjekt 207 Aktivitätsberechtigung 228 Analyseberechtigung 110, 120, 366 aufgefüllte 460 Benutzern zuordnen 393 bestehende Modelle 343 Daten-Schreibberechtigung 342 Definieren 396 direkte Benutzerzuordnung 321 Fragenkatalog im Projekt 313 für zwei Merkmale 461 generierungsbasierte 432 Hierarchie für 0TCTAUTH 339 InfoProvider-basierte 332 Integrierte Planung 341 Leitsätze 54 Mischen 459, 462 operatives Modell 344 Transport 110 USER_PCT 435 USER_WERK 436 variablenbasierte 391 Vorgenerieren 353 XVT_BI_ALL 374 zukünftige Entwicklung 314 Zuordnung 318 Analyseberechtigungsmodell generische Modelle 330 InfoObject-basiertes 333 InfoProvider-basiertes 331 Merkmale zusammenfassen 337 Mischformen 334, 341 Vor- und Nachteile 335, 341 Analytics Security Objects 153 Änderungsart 296 Änderungsbeleg 292 Anleitung Demo-Content 625 Anwendungskomponente anlegen 626 Anzeigeattribut 100, 102, 127 Anzeigehierarchie Hierarchie Arbeitsmappe Anlegen 379 Ausführen 416 Erstellen 374 Archivierung Transaction SARA Audit 294 Aufriss

31 Index Ausdünnung Hierarchieberechtigung Ausführen als Ausführen als... Transaktion RSUDO Ausführungsberechtigung S_RS_COMP Ausschlussmenge Excluding automatische Filterung 539 B BAdI 592 RSEC_VIRUTAL_AUTH_BADI 593 Barriere 610 Barriereprinzip 53 Basisberechtigungsobjekt 364 BasisCube 368, 370 Anlegen 369 Übernehmen 631 bebuchbarer Knoten 282 Benutzer 111 Anlegen 396 D_E_L_E_T_E 352 eingeschränkt berechtigter 49 viele vereinzelte Berechtigungen 459 Benutzerberechtigung 472 Testen 399 Benutzergruppe 306, 609 Benutzerpflege Transaktion SU01 Benutzertyp 202 Einteilen 323 Benutzerzuordnung 44, 111, 157, 167, 438 0TCA_DS direkte 322 Berechtigung Aggregationsberechtigung 35, 59 Analyse in ERP 211 Anlegen 39 Attribut zum Merkmal 103 BAdI 592 Barriereprinzip 53 Customer-Exit 591 Filterprinzip 53 in der Planung testen 448 Kombinieren 575, 577 manuelle oder generierte 44 mehrdimensionale 73, 174, 401, 405 Merkmal eines InfoProviders 42 Mischen 575, 578 mit SID 571 Namensvergabe 168 OLAP 24 OLTP 24 Optimieren 575 Power-User 235 Prüfen 42, 395 Pufferung 575 Typ der Hierarchieberechtigung 65 Variable 54, 590 Vereinfachen 578 viele vereinzelte 457 virtuelle 592 zeitintensiv Mischen 461 Zuordnung 44 Berechtigung und Exit-Variable 412 Berechtigungen zusammenfassen 286 Berechtigungen, sortierte Auflisten 463 Berechtigungsdefinition Einzelwert 398 Berechtigungsfeld 218, 219 Dokumentation 206 zulässige Aktivität 206 Berechtigungsgruppe 609 Berechtigungskombination 396 mehrdimensionale 338 Berechtigungskonzept Definition 301 ohne Analyseberechtigung 310 Berechtigungskonzept BW 202 Berechtigungsmeldung EYE , 264, 568 EYE EYE keine ausreichende Berechtigung 568 Berechtigungsmodell Ablauf 304 Anforderung 307 Anforderungsprofil 301 Beginn 306 Benutzergruppe 306 Benutzertyp 323 berechtigungsrelevantes Merkmal 307, 313 Berechtigungsrolle 326 bestehende Standardberechtigung 329 bestehendes

32 Index BW-Projekt 302 Datenberechtigung 307 Definition 301 Entscheidungsbaum 307 Grundmodell der Standardberechtigungen 313, 323 InfoProvider-basiertes 331, 333 Lösungsansätze 301 Menürolle 326 Modelldefinition 303 Modellentscheidung 309 Namensraum 310 Rollenmodell 326 Standardrollenkonzept 306 Testen 388 Vorlage 324 Berechtigungsobjekt Basis 364 BEx Query 225 BEx Web Application Designer 238 ERP und BW 209 S_ADMI_FCD 364 S_CTS_ADMI 213, 364 S_DATASET 364 S_DEVELOP 211, 364 S_GUI 211, 364, 384 S_RFC 226, 232, 364, 384 S_RO_BCTRA 213 S_RO_OSOA 213 S_RS_ADMWB 215, 223, 366 S_RS_ALVL 236 S_RS_AUTH 226, 231, 319, 320, 384 S_RS_BCS 238 S_RS_BEXTX 238 S_RS_BITM 238 S_RS_BTMP 239 S_RS_COMP 205, 207, 225, 226, 229, 383 S_RS_COMP1 225, 228, 229, 383 S_RS_FOLD 225, 230, 231 S_RS_ICUBE 221 S_RS_IOMAD 223 S_RS_ISRCM 218 S_RS_MPRO 221 S_RS_ODSO 221, 366 S_RS_PLENQ 236 S_RS_PLSE 236 S_RS_PLSQ 236 S_RS_PLST 236 S_RS_RSTT 226, 231, 366 S_RS_TR 219, 220 S_RSEC 112, 365 S_TABU_CLI 364 S_TABU_DIS 212, 364 S_TABU_LIN 212, 224 S_TCODE 210, 214, 364 S_USER_AGR 226, 365, 383, 386 S_USER_GRP 365 S_USER_PRO 365 S_USER_TCD 235, 365, 383, 386 S_USER_VAL 365 Berechtigungspflege Transaktion RSECAUTH Berechtigungsproblem Hintergrundnutzer 244 Berechtigungsprotokoll 254, 394, 400 Aggregationsberechtigung 269 Aggregationsberechtigungsprüfung 268 Archivierung 290 Attribut 259 bei unterschiedlichen Hierarchien 423 Berechtigungen zusammenfassen 286 detaillierte Berechtigungsprüfung 268 Exit-Variable 282, 411 Hauptprüfung 268 Hierarchieknoten-Berechtigung 262 Hierarchieprüfung ohne Berechtigung 419 InfoProvider-Prüfung 265 Kunden-Exit 283 Optimierungen 283 Protokollaufbau 256 Protokollaufzeichnung 256 Protokollkopf 258 Protokollverwaltung 254 Prüfungsbestandteile 264 Pufferung 284 relevante InfoObjects 266 SQL 276 verwendete Objekte 280 Vorverarbeitung 268 Werte- und Knotenprüfung 273 Wertehilfen und Variablen 259 Wertevariablen 260 Berechtigungsprotokoll (klassisches) 254, 259, 276, 290 ST SU

33 Index Berechtigungsprüfung 208, 224, 431 Ablauf 456 BW-Reporting 229 DSO 221 fehlgeschlagene 447 InfoCube 221 transaktionale 25 Berechtigungspuffer 464 Füllen 458 berechtigungsrelevantes Merkmal 373 Alternativen 315 Navigationsattribut 316 Referenzmerkmal 316 berechtigungsrelevantes Zeitmerkmal 315 Berechtigungsrelevanz 50, 117, 273, 573 Merkmal 38 Navigationsattribut 39 Berechtigungsrolle Administratoren 234 Anlegen 385 Menürolle 235 Reportingbenutzer 234 zentrale 388 Berechtigungstest 388 Berechtigungstext 438 Berechtigungstyp 534, 573 Berechtigungsübung Arbeitsmappeneinstellung 379 Benutzertyp 375 Datenmodell anlegen 368 Datenmodellierung Standardberechtigungsobjekt 361 Einführung 355 generierungsbasierte Modelle Überblick 359 Modellüberblick 356 Namensraum 357 Query Standardberechtigungsobjekt 362 Rolle anlegen 367 SAP-Basis-Standardberechtigungsobjekt 364 Standardberechtigung Überblick 358 Standardberechtigungsmodell 359 Überblick Analyseberechtigung und Integrierte Planung 359 variablenbasierte Modelle Überblick 358 Vorlage anpassen 360 Vorlage und Datenmodell 360 Berechtigungsvariable 344 Berechtigungsvergabe 319 einfache 320 Berechtigungsvorlage 241 Aufrufen 241 S_RS_RDEMO 242 bestehende Standardberechtigung 329 bestehendes Modell 303 Anpassen 343 Erweitern 343 Bewegungsdaten 36, 67 Beladen 636 BEx Analyzer 234 BEx Query 34 BEx Web Application Designer 239 Berechtigungsobjekt 238 BIAUTH 161 Blatt Hierarchie Blätter Hierarchieberechtigung BW 3.x Berechtigungsprüfung 479 Hierarchieberechtigung 478 Transaktion RSSM 477 ZBV 477 BW BW-Berechtigung Namensraumkonzept 312 BW-Berechtigungsobjekt 365 S_RS_ADMWB 366 S_RS_DS 366 S_RS_IOBC 366 S_RS_IOBJ 366 S_RS_ODSO 366 S_RS_RSTT 366 S_RSEC 365 BW-Berechtigungsprojekt 304 BW-Integrierte Planung Integrierte Planung C Changelog 292 Content-Vorlage 166 Customer-Exit 116, 138, 449, 467, 531, 538, 591 Erweiterungen pflegen