Fortgeschrittene Techniken im SAP-Berechtigungswesen inklusive Fiori und J2EE E-Book
Manfred Sprenger
19,99 €
Mehr erfahren.
- Herausgeber: Espresso Tutorials
- Kategorie: Wissenschaft und neue Technologien
- Sprache: Deutsch
Die Berechtigungskonzepte der SAP bieten dem Kunden eine fast unübersehbare Fülle von Möglichkeiten. Mit dem Übergang zu S/4HANA und Fiori sind etliche Neuerungen hinzugekommen, und die Entwicklung schreitet laufend voran.
Dieses Buch wendet sich insbesondere an diejenigen, die in Betrieben für Berechtigungen und Rollen verantwortlich sind und die vor der Aufgabe stehen, ihr Berechtigungskonzept immer von Neuem zu optimieren, zu aktualiseren, noch sicherer zu machen. Praxisnah, kompakt und eingängig behandelt es ein breites Themenspektrum: Sie erfahren zahlreiche wichtige Details zu Berechtigungen in CDS-Views, im Fiori Launchpad und in Enterprise Search und definieren eigene Berechtigungsobjekte. Innerbetriebliche Veränderungen meistern Sie leichter durch Bindung von Berechtigungen an die Organisationsstruktur. Durch Anwendung der Funktionstrennung (SOD), Definition von Sicherheitsrichtlinien und richtige Handhabung des Security-Audit-Log schützen Sie die IT des Unternehmens vor inneren und äußeren Risiken und bereiten sie auf künftige Audits vor. Sie erfahren, wie Sie mittels der Zentralen Benutzerverwaltung (ZBV) in einer komplexen Drei-System-Landschaft den Überblick über die Benutzer behalten, und werden aufgeklärt, welche Besonderheiten das Berechtigungswesen des SAP NetWeaver Application Server Java hat und wie Sie es über die UME-Konsole verwalten.
- Neuerungen beim Berechtigungskonzept in SAP S/4HANA
- SOD, Security Audit Log und Sicherheitsrichtlinien
- Berechtigungszuordnung über Organisationseinheiten
- Zentrale Benutzerverwaltung (ZBV)
Das E-Book können Sie in Legimi-Apps oder einer beliebigen App lesen, die das folgende Format unterstützen:
Seitenzahl: 178
Veröffentlichungsjahr: 2023
Ähnliche
Manfred Sprenger
Fortgeschrittene Techniken im SAP®-Berechtigungswesen inklusive Fiori® und J2EE
Manfred SprengerFortgeschrittene Techniken im SAP®-Berechtigungswesen inklusive Fiori® und J2EE
ISBN:978-3-960121-86-2 (E-Book)
Lektorat:Bernhard Edlmann
Korrektorat:Die Korrekturstube
Coverdesign:Philip Esch
Coverfoto:iStockphoto.com | Edwin Tan No. 1323650268
Satz & Layout:Johann-Christian Hanke
1. Auflage 2023
© Espresso Tutorials GmbH, Gleichen 2023
URL:www.espresso-tutorials.de
Das vorliegende Werk ist in allen seinen Teilen urheberrechtlich geschützt. Alle Rechte sind vorbehalten, insbesondere das Recht der Übersetzung, des Vortrags, der Reproduktion und der Vervielfältigung. Espresso Tutorials GmbH, Bahnhofstr. 2, 37130 Gleichen, Deutschland.
Ungeachtet der Sorgfalt, die auf die Erstellung von Text und Abbildungen verwendet wurde, können weder der Verlag noch die Autoren oder Herausgeber für mögliche Fehler und deren Folgen eine juristische Verantwortung oder Haftung übernehmen.
Feedback:Wir freuen uns über Fragen und Anmerkungen jeglicher Art. Bitte senden Sie diese an: [email protected].
Inhaltsverzeichnis
Willkommen bei Espresso Tutorials!
Unser Ziel ist es, SAP-Wissen wie einen Espresso zu servieren: auf das Wesentliche verdichtete Informationen anstelle langatmiger Kompendien – für ein effektives Lernen an konkreten Fallbeispielen. Viele unserer Bücher enthalten zusätzlich Videos, mit denen Sie Schritt für Schritt die vermittelten Inhalte nachvollziehen können. Besuchen Sie unseren YouTube-Kanal mit einer umfangreichen Auswahl frei zugänglicher Videos: https://www.youtube.com/user/EspressoTutorials.
Kennen Sie schon unser Forum? Hier erhalten Sie stets aktuelle Informationen zu Entwicklungen der SAP-Software, Hilfe zu Ihren Fragen und die Gelegenheit, mit anderen Anwendern zu diskutieren: http://www.fico-forum.de.
Eine Auswahl weiterer Bücher von Espresso Tutorials:
Marcel Schmiechen:
Berechtigungen in SAP
®
ERP HCM – Einrichtung und Konfiguration
Marcel Schmiechen:
Berechtigungen in SAP
®
ERP HCM – Erweiterung und Optimierungen
Martin Metz & Sebastian Mayer:
Schnelleinstieg in SAP
®
– GRC Access Control
Julian Harfmann, Sabrina Heim, Andreas Dietrich:
Compliant Identity Management mit SAP
®
IdM und GRC AC
Bianca Folkerts:
Praxishandbuch für die Risikoanalyse mit SAP
®
GRC Access Control
Denis Reis:
SAP BI Berechtigungen sind einfach: Das Wesentliche auf den Punkt gebracht
Andreas Prieß, Manfred Sprenger:
Schnelleinstieg SAP
®
-Berechtigungen für Anwender und Einsteiger
– 2., erweiterte Auflage
Vorwort
Die Möglichkeiten des »SAP-Berechtigungskonzepts« sind so umfangreich, dass es einem Kunden eigentlich nie gelingt, zur Produktivsetzung eines SAP-Systems den vollen Funktionsumfang zu nutzen. In meinem »Praxishandbuch SAP-Berechtigungswesen« (Espresso Tutorials, 2023) erläutere ich Ihnen, was für die Definition von Rollen in einem SAP-System technisch mindestens vorzubereiten ist. Mithilfe dieser Rollen können Sie SAP-Benutzer mit genau den Berechtigungen versehen, die diese für die Erfüllung ihrer Aufgaben mit den Anwendungen eines SAP-Systems benötigen.
Mit der Ersteinrichtung ist es aber nicht getan. Die SAP erweitert Ihre Systeme ständig um neue Technologien und Funktionen, die auch Auswirkungen auf das Berechtigungsthema haben. So wurden beim Übergang von SAP ERP zu S/4HANA eine Vielzahl neuer Berechtigungsprüfungen eingeführt, insbesondere durch den verstärkten Einsatz des Fiori Launchpad als zusätzlichem Zugang eines SAP-Benutzers zu den Anwendungen.
Nicht nur Neuerungen führen dazu, dass wir uns immer intensiver mit dem Thema »SAP-Berechtigungskonzept« befassen müssen. Das von einem Kunden umgesetzte Konzept gerät zunehmend in den Fokus von Auditoren. Sie müssen sich daher zwangsläufig im Laufe der Zeit damit befassen, wie Sie ihr implementiertes Berechtigungskonzept so optimieren, dass es einem Audit standhält.
Zielgruppe
In diesem Buch liegt der Schwerpunkt auf den technischen Aspekten des SAP-Berechtigungskonzepts. Ich möchte Ihnen zeigen, welche Möglichkeiten es gibt, das von Ihnen bereits implementierte Berechtigungskonzept zu optimieren oder neu hinzugekommene Funktionen zu unterstützen. Angesprochen sind alle, die bisher schon für die Konzeption und Definition von Rollen verantwortlich waren. Ich gehe also bei meinen Ausführungen davon aus, dass Sie mit Transaktionen wie SU01 und PFCG sicher umgehen können und Ihnen Begriffe wie Berechtigungsobjekt, Rolle und Profil geläufig sind.
Über dieses Buch
Ich beginne dieses Buch mit einem Überblick, welche zusätzlichen Möglichkeiten es heute gibt, Berechtigungsprüfungen zu implementieren. Kapitel 2 befasst sich mit dem Konzept »SAP Business User«, eine Erweiterung des Benutzerstammsatzes um Geschäftspartner- und Personalstammdaten. Danach zeige ich Ihnen, wie Sie ein Berechtigungskonzept für das SAP Fiori Launchpad einrichten. In Kapitel 3 lernen Sie wichtige Begriffe zu Fiori kennen und erfahren, wie Sie mithilfe von Launchpad-Katalogen, Launchpad-Gruppen etc. geeignete Rollen aufbauen. Diese Rollen ermöglichen es einem Anwender, im Fiori Launchpad genau die für ihn relevanten Anwendungen zu finden. In Kapitel 4 sehen Sie, wie man bestimmte Funktionen des Launchpad wie die Personalisierung oder die SAP Enterprise Search berechtigt. Vervollständigt wird die Fiori-Thematik in Kapitel 5, in dem ich darauf eingehe, welche Einflüsse ein Upgrade auf Fiori-Rollen haben kann und woher die Transaktion PFCG die Vorschlagswerte für Fiori-spezifische Rollen erhält.
Die Definition eigener Berechtigungsobjekte ist Inhalt von Kapitel 6.
In Kapitel 7 geht es darum, wie Sie Rollen und damit Berechtigungen den Elementen einer Organisationsstruktur zuordnen. Sie haben damit eine Möglichkeit, Rollen nicht direkt SAP-Benutzern zuzuweisen, sondern stattdessen z.B. an Stellen und Planstellen zu koppeln. Dies hat den Vorteil, dass etwa bei einer Umbesetzung innerhalb des Unternehmens die Zuordnung von Rollen zu Benutzern automatisch angepasst wird.
Das in einem SAP-System implementierte Berechtigungskonzept ist regelmäßig Gegenstand von Audits, z.B. seitens eines Wirtschaftsprüfers. Untersucht werden bei einem solchen Audit insbesondere kritische Berechtigungen und kritische Kombinationen von Berechtigungen. In Kapitel 8 gehe ich näher darauf ein und zeige Ihnen, welche Möglichkeiten Sie haben, Ihr Berechtigungskonzept auf ein Audit vorzubereiten.
Die Benutzerverwaltung ist umso aufwendiger, je mehr SAP-Systeme und Mandanten zu berücksichtigen sind. In Kapitel 9 stelle ich die Zentrale Benutzerverwaltung (ZBV) vor, ein relativ einfach einzurichtendes Werkzeug zur Verwaltung von Benutzern. Die ZBV erlaubt es Ihnen, nur noch in einem einzigen Mandanten Benutzerstammsätze pflegen zu müssen.
Jeder Kunde der SAP ist prinzipiell verpflichtet, zur Verwaltung seiner SAP-Systemlandschaft einen SAP Solution Manager zu verwenden. Der Solution Manager besteht aus zwei SAP-Systemen. Eines dieser Systeme basiert technisch auf einem Application Server ABAP, das andere auf einen Application Server Java. Das ABAP-basierte System verwendet das Ihnen bekannte Berechtigungskonzept. In Kapitel 10 erfahren Sie, dass dem Java-basierten System ein davon stark abweichendes Konzept zugrunde liegt.
Kapitel 11 thematisiert, welche Parameter der SAP-Systemprofile Einfluss auf z.B. das Verhalten der Transaktion PFCG oder des Benutzermenüs SAP Easy Access haben. In Kapitel 12 stelle ich dar, wie Sie sogenannte Sicherheitsrichtlinien verwenden, um das Regelwerk für die Kennwortvergabe und das Systemverhalten bei der Anmeldung individueller zu gestalten.
Im Laufe der Zeit sammeln sich in einem SAP-System eine große Anzahl von Logs an, die Änderungen an Benutzerstammsätzen und Rollen protokollieren. In Kapitel 13 lernen Sie die Archivierung solcher Logs kennen.
In Kapitel 14 komme ich noch einmal auf das Thema »Audit« zurück. Ich stelle Ihnen das Security-Audit-Log vor, einem Mechanismus, mit dem Sie sicherheitskritische Ereignisse protokollieren und auswerten können.
In den Text sind Kästen eingefügt, um wichtige Informationen besonders hervorzuheben. Jeder Kasten ist zusätzlich mit einem Piktogramm versehen, das diesen genauer klassifiziert:
Hinweis
Hinweise bieten praktische Tipps zum Umgang mit dem jeweiligen Thema.
Beispiel
Beispiele dienen dazu, ein Thema besser zu illustrieren.
Achtung
Warnungen weisen auf mögliche Fehlerquellen oder Stolpersteine im Zusammenhang mit einem Thema hin.
Die Form der Anrede
Um den Lesefluss nicht zu beeinträchtigen, verwenden wir im vorliegenden Buch bei personenbezogenen Substantiven und Pronomen zwar nur die gewohnte männliche Sprachform, meinen aber gleichermaßen Personen weiblichen und diversen Geschlechts.
Hinweis zum Urheberrecht
Zum Abschluss des Vorworts noch ein Hinweis zum Urheberrecht: Sämtliche in diesem Buch abgedruckten Screenshots unterliegen dem Copyright der SAP SE. Alle Rechte an den Screenshots hält die SAP SE. Der Einfachheit halber haben wir im Rest des Buchs darauf verzichtet, dies unter jedem Screenshot gesondert auszuweisen.
1 Neuerungen: Technische Durchführung einer Berechtigungsprüfung
Berechtigungsprüfungen wurden in der Vergangenheit (SAP ERP) im Coding von ABAP-Programmen mithilfe der Anweisung AUTHORITY-CHECK durchgeführt. Dies ist natürlich nach wie vor auch für S/4HANA richtig, doch sind neue Möglichkeiten hinzugekommen, Berechtigungsprüfungen aus den Programmen in Richtung Datenbank zu verlagern. Diese Neuerungen werden im aktuellen Kapitel vorgestellt. Es richtet sich in erster Linie an Entwickler, die Berechtigungsprüfungen implementieren müssen.
1.1 Berechtigungsprüfungen in Core Data Services
Mithilfe der Core Data Services definieren Sie Views, über die eine Anwendung auf die relevanten Tabellen zugreifen kann. Diese sogenannten CDS-Views bieten einen entscheidenden Vorteil: Berechtigungsprüfungen können in die View-Definition ausgelagert werden. Daher ist keine Berechtigungsprüfung im Programm mehr erforderlich, wenn die benötigten Daten über eine mit Prüfungen versehene View gelesen werden.
1.1.1 CDS-View ohne Berechtigungsprüfung
Abbildung 1.1 stellt beispielhaft die CDS-View ZCDS_MARAV vor. Sie enthält noch keine Berechtigungsprüfung. Daher zeigen sowohl die Data Preview (als Beispiel für eine Non-ABAP-Anwendung) als auch das Programm alle Zeilen an.
Abbildung 1.1: Beispiel für eine CDS-View
1.1.2 CDS-View mit Berechtigungsprüfung
Der CDS-View wird nun eine Berechtigungsprüfung (engl. Access Control, CDS-Rolle) zugeordnet (siehe Abbildung 1.2).
Der Rollen-Begriff
Beachten Sie, dass der Begriff »Rolle« von der SAP in verschiedenen Zusammenhängen verwendet wird. Eine CDS-Rolle sollte nicht mit einer Rolle verwechselt werden, die Sie mithilfe der Transaktion PFCG definieren (PFCG-Rolle).
Im konkreten Beispiel wird eine CDS-Rolle ZCDS_MARAV_MATKL für die View ZCDS_MARAV ergänzt. Diese stellt damit nur Zeilen zur Verfügung, für die der Wert des Feldes MATKL zulässig ist. »Zulässig« bedeutet hier, dass der Anwender eine Berechtigung für das Feld BEGRU des Objekts M_MATE_WGR besitzt und zusätzlich für das Feld ACTVT der Wert 03 erlaubt ist.
Abbildung 1.2: Definition einer Zugriffskontrolle (Access Control)
Für einen Berechtigungstest habe ich die Rolle MM_MATSTAMM_LXXX_ROH definiert (siehe Abbildung 1.3). Sie erlaubt für das Berechtigungsobjekt M_MATE_WGR (Warengruppen) im Feld BEGRU alle mit »L« beginnenden Werte . Für weitere Tests enthält die Rolle zusätzlich eine Berechtigung zum Objekt M_MATE_MAR (Materialarten), die für das Feld BEGRU den Wert ROH zulässt .
Abbildung 1.3: Musterrolle MM_MATSTAMM_LXXX_ROH
Startet jetzt ein Anwender, dem die Rolle MM_MATSTAMM_LXXX_ROH zugeordnet ist, unser Beispielprogramm, werden nur noch die berechtigten Warengruppen angezeigt. Das Programm selbst wurde nicht verändert (siehe Abbildung 1.4).
Abbildung 1.4: Berechtigungstest für das Beispielprogramm
Berechtigungsvariante ASPECT PFCG_AUTH
Im konkreten Beispiel filtert bereits die CDS-View alle nicht berechtigten Warengruppen (Feld MATKL) aus. ASPECT PFCG_AUTH bedeutet, dass das angegebene Berechtigungsobjekt zur Prüfung herangezogen wird und die Berechtigungen selbst mithilfe einer PFCG-Rolle einem Anwender zugewiesen werden.
1.1.3 Mehrere CDS-Rollen zu einer CDS-View
Definieren Sie nun eine weitere CDS-Rolle ZCDS_MARAV_MTART für die View ZCDS_MARAV (siehe Abbildung 1.5). Die Filterung erfolgt für das Feld MTART. Zulässig sind die Materialarten, die über ausreichende Berechtigungen für das Objekt M_MATE_MAR verfügen.
Abbildung 1.5: Zusätzliche Access Control für die CDS-View
Startet unser Anwender jetzt das Beispielprogramm, ist das Ergebnis überraschend: Es erscheinen auch Warengruppen, die nicht mit »L« beginnen, und außerdem Materialarten, die nicht den Wert ROH haben. Die beiden Access Controls werden offensichtlich mit ODER verknüpft.
Um das nachvollziehen zu können, führen Sie für das Programm zunächst mithilfe der Transaktion STAUTHTRACE einen Berechtigungstrace aus (siehe Abbildung 1.6).
Laut Trace werden Zugriffsfilterungen ausgeführt, auch die zu prüfenden Objekte werden erkannt . Erst der SQL-Trace zeigt, dass die Filterung der Daten durch das SQL-Statement mithilfe einer OR-Verknüpfung erfolgt .
Abbildung 1.6: Traces für das ABAP-Programm
Berechtigungsfilterung durch die Datenbank
Der SQL-Trace beweist, dass die Filterung der berechtigten Zeilen tatsächlich bereits durch die Datenbank erfolgt sein muss. Die vorhandenen Berechtigungen des Anwenders wurden ausgewertet und es wurde ein SQL-Statement erzeugt, das tatsächlich nur noch die berechtigten Zeilen liest.
Es gibt zwei Alternativen, wie Sie das Problem lösen können, wenn eine Access Control mehrere Berechtigungsobjekte prüfen soll (siehe Abbildung 1.7).
Variante 1: Sie definieren eine Zugriffskontrolle, die beide Objekte gleichzeitig prüft . Der Zusatz
REDEFINITION
sorgt dafür, dass andere für die View definierte CDS-Rollen nicht mehr relevant sind.
Variante 2: Mit dem Zusatz
COMBINATION MODE AND
sorgen Sie für eine
UND
-Verknüpfung der vorhandenen CDS-Rollen einer View.
Release-Einschränkung
Die Zusätze REDEFINITION und COMBINATION MODE sind verfügbar ab dem SAP-Basis-Release 7.54.
Abbildung 1.7: Definition einer korrekten Access Control
Der SQL-Trace ( in Abbildung 1.8) zeigt nun, dass die Berechtigungsprüfungen mit AND verknüpft werden.
Abbildung 1.8: SQL-Trace für veränderte CDS-Rollen
Berechtigungsprüfungen von CDS-Views nicht immer wirksam
Durch den Zusatz WITH PRIVILEGED ACCESS können Berechtigungsprüfungen, die für CDS-Views definiert wurden, außer Kraft gesetzt werden (siehe Abbildung 1.9). Das Beispielprogramm zeigt jetzt Materialien aller Materialarten und Warengruppen an.
Abbildung 1.9: Einsatz von WITH PRIVILEGED ACCESS
QuickViewer/Data Browser
Transaktionen wie SQVI (QuickViewer) und SE16 (Data Browser) sind derzeit noch nicht in der Lage, CDS-Views zum Lesen von Daten zu verwenden. Stattdessen können Sie aber die einer CDS-View zugeordnete Datenbank-View (sqlViewName) verwenden. Prinzipiell ist das auch im Coding von ABAP-Programmen möglich. Die einer View zugeordneten CDS-Rollen werden dann nicht berücksichtigt.
In Abbildung 1.10 sehen Sie die Definition der CDS-View ZCDS_MARAV. Der View ist die Datenbank-View ZCDS_SQL_MARAV zugeordnet . Verwendet ein ABAP-Programm statt der CDS-View zum Lesen die Datenbank-View , zeigt das Programm trotz der CDS-Rollen, die der CDS-View zugeordnet sind , alle Materialien an. Gleiches gilt für eine QuickView, die die Datenbank-View verwendet .
Abbildung 1.10: Zugriff auf die Datenbankview zur CDS-View
1.2 Berechtigungsprüfungen im ALV Grid
Programme können zur Datenanzeige auch den ABAP List Viewer with Integrated Data Access (ALV IDA) verwenden.
Diese in erster Linie für das S/4HANA-System entwickelte Ausprägung des ABAP List Viewer lässt es zu, Berechtigungsprüfungen direkt mithilfe der Datenbank auszuführen.
Abbildung 1.11 zeigt ein entsprechendes Musterprogramm.
Ein ALV IDA kann über eine Referenz auf das Interface IF_SALV_GUI_TABLE_IDA angesprochen werden. Über die Methode ADD_AUTHORIZATION_FOR_OBJECT werden die Berechtigungsprüfungen festgelegt. Beachten Sie dabei, dass der Methodenparameter IT_ACTIVITIES obligatorisch ist!
Abbildung 1.11: ALV IDA mit Berechtigungsprüfung
Der Berechtigungstrace ( in Abbildung 1.12) lässt erkennen, dass Zugriffsfilterungen für die angegebenen Berechtigungsobjekte erfolgen. Der SQL-Trace verdeutlicht, dass die Berechtigungsprüfung automatisch durch geeignete SQL-Statements auf der Datenbank ausgeführt wird.
Abbildung 1.12: SQL-Trace für ALV IDA
2 SAP Business User
Ein SAP-Anwender benötigt für den Zugriff auf ein SAP-System einen Benutzerstammsatz, dem z.B. die Berechtigungen für den Zugriff auf Daten und Anwendungen zugeordnet sind. Die meisten SAP-Anwender sind aber nicht nur Anwender, sondern meistens gleichzeitig Mitarbeiter des Unternehmens. Die entsprechenden Personalstammdaten werden von der Personalabteilung gepflegt. Nicht selten taucht aber ein Anwender innerhalb von Geschäftsprozessen als Geschäftspartner auf, z.B. als Ansprechpartner, Serviceteam-Mitarbeiter etc.
Stammdaten wie Name, E-Mail-Adresse, Telefonnummer etc. werden somit an verschiedenen Stellen von unterschiedlichen Personen gepflegt, was die Gefahr von Inkonsistenzen birgt. Mit S/4HANA hat die SAP deshalb das Konzept des Business User eingeführt (gelegentlich auch als Business-Benutzer bezeichnet), das eine redundanzfreie Stammdatenpflege erlaubt.
2.1 SAP-Benutzerstammsatz versus Business User
Benutzerstammsätze für den Zugang zu einem SAP-System werden mit der Transaktion SU01 bearbeitet (siehe Abbildung 2.1). Zum Benutzer werden u.a. Name, Kommunikationsdaten und Arbeitsplatzdaten erfasst. Ist die Person zu diesem Benutzerstammsatz zudem Mitarbeiter des Unternehmens, werden diese Daten auch noch einmal (redundant) von der Personalabteilung mithilfe der Transaktion PA30 erfasst. In SAP-Anwendungsszenarien, in die Personen als Geschäftspartner (Business Partner) involviert sind, muss zusätzlich mit der Transaktion BP ein Geschäftspartnerstammsatz gepflegt werden. Geschäftspartner-basierte Szenarien waren bisher z.B. in CRM-Systemen zu finden. Wenn Sie sich schon einmal mit dem Thema »Servicemanagement«, speziell im Solution Manager mit dem »Incident Management« oder »Change Request Management« befasst haben, werden Sie schon Erfahrung damit gemacht haben, dass ein Benutzerstammsatz allein nicht ausreichend ist.
Abbildung 2.1: Klassische Benutzerverwaltung
Mit der Einführung von S/4HANA hat das Thema Geschäftspartner (GP) eine zentrale Bedeutung erhalten. Viele Anwendungsszenarien setzen voraus, dass ein Benutzerstammsatz immer eins zu eins mit einem Geschäftspartner verknüpft ist; manche Szenarien erfordern außerdem eine Verbindung dieses Geschäftspartners mit einem Personalstammsatz. Dies kann auch ein HR-Ministamm sein, also ein stark reduzierter Personalstammsatz, etwa in Unternehmen, die für das Personalwesen gar nicht die SAP-Komponente HCM nutzen.
Mit dem Business User hat die SAP in S/4HANA ein neues Modell zur Benutzerverwaltung etabliert, dessen Ziel es ist, eine doppelte Datenpflege zu vermeiden (siehe Abbildung 2.2). Die zentrale Rolle übernimmt dabei der Geschäftspartner. Wer für welchen Teil der Datenpflege verantwortlich ist – Benutzerverwaltung, Geschäftspartnermanagement oder Personalwirtschaft –, hängt von verschiedenen Faktoren ab, etwa ob eine HCM-Integration aktiv ist (siehe Tabelle T77S0 in Abbildung 2.9). Zusätzlich wird die Zuständigkeit durch Customizing mithilfe der Tabelle TBZ_V_EEWA_SRC (Attributquelle, siehe Abbildung 2.8) gesteuert.
Abbildung 2.2: Business User
SAP-Hinweis 2570961
Der SAP-Hinweis 2570961 beschreibt das Vereinfachungselement S4TWL, die Business-Benutzerverwaltung. Hier finden Sie ausführliche Informationen dazu, in welcher Konstellation wer für die Datenpflege zuständig ist und welche Einschränkungen bestehen.
Ich werde Ihnen in den folgenden Abschnitten darlegen, wie die Verknüpfung zu einem Geschäftspartner bzw. einem Personalstammsatz erfolgt, wie also aus einem einfachen SAP-Benutzer ein Business-User wird.
2.2 Mitarbeiter und Geschäftspartner zuordnen (ohne HR-Integration)
In diesem Abschnitt erkläre ich, wie Sie einem SAP-Benutzerstammsatz einen Geschäftspartner zuordnen, wenn die HCM-Integration nicht aktiv ist (zur Aktivierung der HCM-Integration siehe Abschnitt 2.3).
2.2.1 Personalstammsatz per App anlegen
Gehen wir davon aus, dass Sie bereits mit der Transaktion SU01 einen Benutzer mit klassischer Adresse angelegt haben (siehe Abbildung 2.3).
Starten Sie im Fiori Launchpad die App Mitarbeiter pflegen. Die App hat die ID F2288A. Die App können Sie einem Anwender mithilfe einer Rolle zur Verfügung stellen, die den Launchpad-Katalog SAP_BASIS_TCR_T enthält. Nähere Information zur App finden Sie im SAP-Hinweis 2716717.
Abbildung 2.3: Mitarbeiter anlegen
Wählen Sie Anlegen. Geben Sie eine ID des Mitarbeiters vor. Diese ist frei wählbar, darf aber nicht ausschließlich aus Ziffern bestehen. Füllen Sie zusätzlich die Pflichtfelder Nachname sowie Gültig ab und Gültig bis aus. Die Verknüpfung zu einem bereits existierenden Benutzerstammsatz stellen Sie über das Feld Benutzer-ID her . Diese Benutzer-ID darf noch keinem anderen Mitarbeiter zugeordnet sein. Mit der Zuordnung werden einige Informationen aus dem Benutzerstammsatz übernommen, z.B. die im Stammsatz hinterlegte E-Mail-Adresse. Wenn Sie jetzt Sichern, wird aus dem klassischen SAP-Benutzerstammsatz ein Business User (siehe Abschnitt 2.3.2).
Die App gestattet Ihnen des Weiteren, zusätzliche Informationen zu erfassen (siehe Abbildung 2.4), die im Geschäftspartnerstammsatz wiederzufinden sind. Dazu gehören z.B. Kontaktinformationen und Zusatzinformationen.
Abbildung 2.4: Zusätzliche Angaben zum Mitarbeiter
Sollten Sie hier Eintragungen vornehmen und beim Sichern der Daten Fehlermeldungen erhalten (siehe Abbildung 2.5), deutet das darauf hin, dass Sie Felder bearbeiten, für deren Pflege diese App nicht vorgesehen ist. Maßgeblich dafür, welche Daten in der App »Mitarbeiter pflegen« eingetragen werden können, sind die Einstellungen in der Customizing-Tabelle TBZ_V_EEWA_SRC (siehe Näheres dazu in Abschnitt 2.2.3).
Abbildung 2.5: Fehlermeldungen beim Sichern der Mitarbeiterdaten
2.2.2 Auswirkung der Personalstammdaten auf den Benutzerstammsatz
Unser SAP-Benutzerstammsatz ist jetzt als Benutzer mit Geschäftspartnerzuordnung klassifiziert (siehe Abbildung 2.6). Die App »Mitarbeiter pflegen« hat automatisch einen Geschäftspartner angelegt, dessen ID im Infotext mit ausgegeben wird.
Die Benutzerklassifikation bedeutet für die Adressdaten, dass sie, zumindest zum Teil, nicht mehr in der SU01 änderbar sind . Andere Rubriken wie Arbeitsplatz, Kommunikation und Firma sind zwar nach wie vor in der SU01 editierbar, umgekehrt aber nicht in der zuvor gezeigten App »Mitarbeiter pflegen«. Noch einmal zur Erinnerung: Die Customizing-Tabelle TBZ_V_EEWA_SRC steuert, welche Felder in der SU01 noch änderbar sind (siehe auch SAP-Hinweis 257096).
Abbildung 2.6: Benutzer mit Geschäftspartnerzuordnung
Die Transaktion BP zeigt die Verknüpfung zwischen Geschäftspartner und Personalstammsatz an (siehe Abbildung 2.7). Die App hat einen Geschäftspartner in der GP-RolleGeschäftspartner allgemein angelegt. Auf dem Reiter Identifikation finden Sie unter Identifikationsnummern (ID-ArtHCM001) die Verknüpfung zu dem per App angelegten Mitarbeiter .
Abbildung 2.7: Verknüpfung zwischen Geschäftspartner und Mitarbeiter
2.2.3 Quelle für Adressdaten im Personalstammsatz
Wie bereits mehrfach erwähnt, wird über die Tabelle TBZ_V_EEWA_SRC gesteuert, ob die Pflege der Adressdaten für einen Benutzerstammsatz in der Transaktion SU01 möglich ist oder alternativ in der Transaktion BP.
Die Tabelle können Sie mithilfe der Transaktion SM30 bearbeiten (siehe Abbildung 2.8). Geben Sie zunächst den Namen der Tabelle/Sicht ein
