Sicherheit mit rollenbasierten Berechtigungen (RBB) von SAP SuccessFactors verwalten

• Administratoren können viele Rollen definieren.
• Gruppen können dynamisch sein, was eine Automatisierung der Zuordnung von Berechtigungen ermöglicht. Eine Gruppe berechtigter Benutzer kann beispielsweise "Alle Mitarbeiter in der Vertriebsabteilung" sein.  Wenn Mitarbeiter in die und aus der Vertriebsabteilung versetzt werden, werden ihre Berechtigungen automatisch angepasst.
• Die Rolle definiert den Zugriff auf Daten und Funktionen. Hier definieren Sie, was Ihre Rolle in SAP SuccessFactors bewirken soll. Soll die Rolle beispielsweise berechtigt sein, Dashboards anzuzeigen?
• Sobald die Rolle definiert ist, vergeben Sie die Rolle an Gruppen von Benutzern, die durch den Kreis „Berechtigte Benutzer" dargestellt werden.
• Schließlich schränken Sie die berechtigten Benutzer so ein, dass sie die Rolle für Zielbenutzer ausführen.  Sie können beispielsweise festlegen, dass Vorgesetzte (Kreis Zugelassene Benutzer) Dashboards (definiert in der Rolle) in ihrem Team (Kreis Zielbenutzer) anzeigen können.

Die Vergabe von rollenbasierten Berechtigungen in SAP SuccessFactors ist ein einfacher Prozess:

1. Gruppen anlegen: Legen Sie eine Gruppe an, und gewähren Sie ihr die erforderliche Berechtigung. Legen Sie dann Gruppen an, die von Benutzern mit diesen Berechtigungen verwaltet werden können.

2. Berechtigungsrolle anlegen: Definieren Sie die verschiedenen Rollen. Berechtigungsrollen definieren den Zugriff auf Daten- und Anwendungsfunktionen.

3. Rolle einem Benutzer oder einer Gruppe zuordnen: Fügen Sie die in Schritt 1 angelegte Zielgruppe den in Schritt 2 angelegten Rollen hinzu. Dies wird auch als Verknüpfung der Rolle mit einer Zielpopulation bezeichnet.

Stellen Sie sich diesen Prozess vor als: „Wer (die Berechtigungsgruppe) kann was (die Berechtigungsrolle) mit wem oder für wen (die Zielpopulation) ausführen?"

Der Implementierungsleitfaden für rollenbasierte Berechtigungen von SAP SuccessFactors, der im SAP Help Portal verfügbar ist, enthält eine umfassende Liste der RBPs, die in der SAP-SuccessFactors-HCM-Suite verwendet werden.

Im RBB-Framework von SAP SuccessFactors werden Berechtigungsgruppen verwendet, um Mitarbeitergruppen zu definieren, die dieselbe Gruppe von Berechtigungen haben. Sie können beispielsweise eine Berechtigungsgruppe namens „Vergütungsmanager in Europa" anlegen, in der alle Manager enthalten sind, die in Europa ansässig sind und Zugriff auf Vergütungsinformationen haben. Ebenso können Sie Berechtigungsgruppen anlegen, welche die Zielpopulation repräsentieren, auf die eine Benutzergruppe oder ein Benutzer mit der entsprechenden Berechtigung zugreifen kann. Beispiel: Europäische Mitarbeitergruppe, die der Gruppe „Vergütungsmanager in Europa" unterstellt ist.

In Berechtigungsgruppen können Sie auch Mitarbeiter zusammenfassen, die eine vordefinierte Bedingung erfüllen. Sie können diese Bedingung aus einem einzelnen Parameter, z.B. „HR" für eine Personalabteilung, erstellen. Sie können auch mehrere Bedingungen festlegen. Sie können beispielsweise eine EU-HR-Gruppe mit den Bedingungen „Abteilung" und „Standort" anlegen, die dann nur HR-Mitarbeiter in Europa enthält. Sie können weitere Parameter hinzufügen, um die Gruppe noch genauer zu definieren. Um beispielsweise die EU-HR-Gruppe auf HR-Mitarbeiter in Europa mit Zugriff auf die Finanzabteilung zu beschränken, wird die EU-HR-Finanzabteilung angelegt.

Eine detaillierte Erläuterung finden Sie im Video „Berechtigungsgruppen anlegen".

Um eine dynamische Gruppe anzulegen, wechseln Sie zu Berechtigungsgruppen verwalten, und wählen Sie Neu anlegen. Geben Sie im Feld Gruppenname einen Namen für die dynamische Gruppe ein. Wählen Sie die Gruppenmitglieder im Dropdown-Menü Personenpool aus. Du kannst bei Bedarf bis zu vier Personenpools in dieselbe Gruppe aufnehmen. Wählen Sie anschließend Personen, die aus der Gruppe ausgeschlossen werden sollen. Wenn Sie fertig sind, wählen Sie Fertig.

Zum Definieren von Berechtigungsgruppen kann jedes beliebige der unten aufgeführten Standardfelder verwendet werden sowie HRIS-Felder, wenn Employee Central aktiviert ist. Die verfügbaren Standardfelder beschränken sich auf die unten aufgeführte Liste.

Folgende Standardfelder sind als Filter in Berechtigungsgruppen zulässig:

Sie können die Parameter einer Berechtigungsgruppe jederzeit ändern. Die folgende Liste enthält einige zusätzliche Änderungen:

• Name der Berechtigungsgruppe

• Bedingungen, die über die Mitglieder der Berechtigungsgruppe entscheiden

• Aufnahme von Mitgliedern in die Berechtigungsgruppe

• Ausschluss von Mitgliedern aus der Berechtigungsgruppe

Administratoren für rollenbasierte Berechtigungen wird auf der Admin-Seite „Berechtigungsgruppen verwalten" die neue Spalte „Kennung" angezeigt.

Bei den Kennungen handelt es sich um systemgenerierte Seriennummern, die sich nach dem Zeitpunkt richten, zu dem die Berechtigungsgruppen angelegt wurden.

Sie haben eindeutige IDs, um Berechtigungsgruppen zu unterscheiden.

Wenn es im Unternehmen zu organisatorischen Änderungen kommt, durch die sich die Zugriffsanforderungen für bestimmte Systeme oder Gruppen in SAP SuccessFactors ändern, müssen Berechtigungsgruppen geändert werden. Wenn das Unternehmen beispielsweise zwei Abteilungen namens „Finanzwesen Deutschland" und „Finanzwesen Frankreich" in einer neuen Abteilung „Finanzwesen Europa" zusammenführt, kann ein Administrator die Berechtigungsgruppe „Finanzwesen Deutschland" in „Finanzwesen Europa" ändern, indem er französische Finanzsachbearbeiter in die Gruppe „Finanzwesen Deutschland" aufnimmt.

Um eine dynamische Gruppe zu ändern, wählen Sie im Dropdown-Menü Maßnahme ergreifen der zu ändernden Gruppe eine Aktion aus. Bearbeiten Sie die Gruppe, indem Sie neue Gruppenmitglieder auswählen und/oder bestehende Mitglieder ausschließen. Sie können auch die Gruppe kopieren, löschen, ihre Übersicht oder ihren Änderungsverlauf anzeigen. Wenn Sie die Änderungen abgeschlossen haben, wählen Sie Fertig.

Bei RBB werden Berechtigungsrollen verwendet, um eine Reihe von Berechtigungen zu gruppieren. Nachdem Sie die Berechtigungen in einer Rolle zusammengefasst haben, können Sie die Rolle einer Gruppe von Benutzern zuordnen und diesen Benutzern Zugriff auf bestimmte Aufgaben und Funktionen in Ihrem System gewähren.

Berechtigungsrollen bestehen aus einer Reihe von Berechtigungen, die Mitarbeitern das Recht auf Zugriff auf einen Mitarbeiter oder eine Gruppe von Mitarbeitern gewähren. Somit hat ein Mitarbeiter bzw. eine Gruppe, dem/der eine Berechtigungsrolle zugewiesen wurde, Zugriff auf bestimmte Aspekte der SuccessFactors-Anwendung oder auf Aspekte von Mitarbeiterdaten. Mit diesem Zugriff können innerhalb der Anwendung Funktionen für andere Mitarbeitergruppen ausgeführt werden.

Mit rollenbasierten Berechtigungen können Sie eine Rolle einem bestimmten Mitarbeiter, einer Führungskraft, einer Gruppe oder allen Mitarbeitern im Unternehmen zuweisen. Die Rollen können sehr detailgenaue Berechtigungen gewähren, wie folgendes Beispiel zeigt:

Beispiel: Es kann Rollen geben wie „HR-Manager für Vergütung und Arbeitgeberleistungen", „HR-Manager für den Vertrieb" und „HR-Manager für Fortbildung und Entwicklung". Auch wenn es sich bei allen drei um Personalleiter handelt, wurden ihre Rollen klar umrissen - eine für Vergütung und Arbeitgeberleistungen, eine andere für das Vertriebsteam und die dritte für Fortbildung und Entwicklung.

Wenn Ihre Berechtigungsrollen aus mindestens einer Berechtigung bestehen, die eine Zielpopulation erfordert, müssen Sie ein Ziel angeben, um das Anlegen der Rolle abzuschließen. Rollen, die eine Zielpopulation erfordern, enthalten eine Berechtigung, die einer Gruppe Zugriff zum Ausführen von Aktionen oder zum Anzeigen von Informationen für andere Mitarbeiter gewährt.

Beispiel: Ein Manager kann eine Rolle mit einer Berechtigung innehaben, die ihm erlaubt, das Gehalt aller ihm direkt unterstellten Mitarbeiter zu ändern. In diesem Beispiel stellen die direkt unterstellten Mitarbeiter des Managers die Zielpopulation dar, die für die Berechtigungsrolle benötigt wird.

Kunden können so viele Berechtigungsrollen haben, wie das Unternehmen benötigt.Berechtigungsbeschreibungen bieten hilfreichere Hilfestellung bei der Konfiguration rollenbasierter Berechtigungen (RBB). Administratoren profitieren von klareren, aktionsorientierten Berechtigungsbeschreibungen, die die Mehrdeutigkeit bei der Rolleneinrichtung und bei Prüfungen reduzieren.

Genau wie bei den Berechtigungsgruppen können Sie Berechtigungsrollen und Rollenzuordnungen nach ihren IDs unterscheiden. Die IDs sind vom System generierte Seriennummern gemäß der Erstellungszeit der Berechtigungsrollen und Rollenzuordnungen. Sie sind genauer als Namen bei der Differenzierung von Berechtigungsrollen und Rollenzuordnungen.

Als Administrator für rollenbasierte Berechtigungen können Sie mehrere Rollenzuordnungen auf der Registerkarte Zuordnungen einer Berechtigungsrolle aktivieren und deaktivieren. Sie können bis zu 30 Rollenzuordnungen gleichzeitig aktivieren oder deaktivieren.

Zielpopulation: Abhängig von den in der Rolle enthaltenen Berechtigungen müssen Sie möglicherweise auch die Zielpopulation definieren. Sie müssen nicht für alle Berechtigungen eine Zielpopulation definieren. Wenn die Berechtigung beispielsweise nur den Zugriff auf eine Anwendung umfasst (z.B. die Zugriffsberechtigung für eine Lernumgebung), muss keine Zielgruppe hinzugefügt werden. Für bestimmte Berechtigungen muss im Bild „Berechtigungseinstellungen" eine Zielpopulation definiert werden. Dies erkennen Sie daran, dass neben dem Berechtigungsnamen das Symbol „t" mit dem folgenden Text angezeigt wird:

Beziehungen: Zugriffsgruppen können über Beziehungen (z.B. Vorgesetzten-Mitarbeiter-Beziehung) definiert werden. Diese Beziehungen können hierarchisch oder nicht hierarchisch sein.

Wenn eine Berechtigungsrolle allen Benutzern oder einer dynamischen Gruppe zugeordnet wird, haben Sie die folgenden Optionen für die Zielpopulation:

• Jeder
• Zielpopulation aus:

  - Abteilung des berechtigten Benutzers

  - Geschäftsbereich des berechtigten Benutzers

  - Standort des berechtigten Benutzers

  - Vorgesetzter des berechtigten Benutzers

  - Kollegen des berechtigten Benutzers

  - Berechtigter Benutzer (selbst)

• Sie können eine Berechtigungsgruppe auswählen.

Es gibt auch die Option „Berechtigte Benutzer von der Berechtigung ausschließen, auf sich selbst zuzugreifen". Dies ist für einige Unternehmen eine interessante Option, wenn es beispielsweise um das Potenzial geht. Eine Gruppe von Personalleitern sollte die Potenzialinformationen aller Mitarbeiter ihres Standorts sehen können, nicht jedoch ihre eigene Potenzialbewertung.

Nachdem Sie Ihre Rollen angelegt haben, müssen Sie eine Rolle einer Gruppe von Mitarbeitern zuordnen. Dadurch wird sichergestellt, dass die Mitarbeiter die Zugriffsberechtigungen erhalten, die sie zur Ausführung ihrer Aufgaben benötigen.

Ordnen Sie Ihrer Rolle bei Bedarf eine Zielpopulation zu.

Es gibt Beziehungen, die über Mitarbeiterfelder festgelegt und mit Tools wie „Mitarbeiterdaten" verwaltet werden können.

Allgemeine Beziehungstypen: Hierarchische Beziehungen werden durch eine Berichtsstruktur zwischen dem berechtigten Benutzer und dem Zielbenutzer charakterisiert. Dabei handelt es sich um Beziehungen zwischen Mitarbeitern und ihren Vorgesetzten sowie Mitarbeitern und ihren zweiten oder alternativen Vorgesetzten. Nicht-hierarchische Beziehungen hingegen sind Beziehungen auf einer Ebene. Dazu gehören die Beziehungen eines Mitarbeiters zum Personalleiter, zum Matrix-Manager und zum benutzerdefinierten Manager. Während jeder Mitarbeiter nur einen Vorgesetzten, einen zweiten Vorgesetzten und einen Personalleiter haben kann, kann er mehrere Matrix-Manager und benutzerdefinierte Manager haben.

Eine Berechtigungsrolle kann viele Rollenzuordnungen haben. Ein Administrator für rollenbasierte Berechtigungen kann die Such-, Sortier- oder Filterfunktionen verwenden, um die Rollenzuordnungssuche in den rollenbasierten Berechtigungen einzuschränken.

Weitere Informationen finden Sie unter Suchen, Sortieren und Filtern von Rollenzuordnungen.

Als RBB-Administrator können Sie die Änderungshistorie einer Berechtigungsrolle und ihre Zuordnungen mithilfe der rollenbasierten Berechtigungen anzeigen und vergleichen. Sie können auch zwei Versionen einer Berechtigungsrolle vergleichen, um zu prüfen, welche Berechtigungen hinzugefügt oder entfernt wurden.

Ein Änderungsdatensatz für eine Berechtigungsrolle wird angelegt, wenn Sie Berechtigungen oder Rollenzuordnungen einer Berechtigungsrolle hinzufügen oder entfernen. Wenn Sie zwei Versionen vergleichen, werden jedoch nur Berechtigungsänderungen hervorgehoben. Beim Verfolgen von Verlaufsdatensätzen einer Berechtigungsrolle können Sie alle Zuweisungen anzeigen, die mit der Rolle in jedem Datensatz verknüpft sind. Sie können auch anzeigen, welche Zuweisungen hinzugefügt oder entfernt wurden, wenn Sie zwei Datensätze für absolvierte Schulungen vergleichen.

Verwenden Sie Tabellenberichte, um eine RBB-Konfiguration zu verstehen. Der Bericht ist über Aktionssuche→Audit-Berichte ändern verfügbar.

Schließlich müssen Sie den Bericht zuerst über die Aktionssuche→Audit-Konfiguration verwalten aktivieren.

Berichte helfen dabei, Fehler zu beheben und die konfigurierten Berechtigungen zu verstehen. RBB-Tabellenberichte sind ein Aggregat aller RBB-Daten in Ihrem System. Sie können auf diese Informationen zugreifen und sie mit den folgenden Ausgabeformaten teilen: PDF, Excel, PPT und CSV. Folgende Reports stehen zur Verfügung:

• Bericht „RBB-Benutzer zu Rolle"
• RBB-Berechtigung für Benutzer (Bericht)
• Bericht „RBB-Benutzer zu Gruppe"
• Bericht „Berechtigungsrollen"
• Berichte zur Definition dynamischer Gruppen

Weitere Informationen finden Sie in diesem Einführungsleitfaden.

Um zu ermitteln, wer oder was Änderungen in der Benutzerrollenzuordnung ausgelöst hat, prüfen Sie die folgenden vier Änderungsauditberichte:

• Personendatenbericht: Zeigt an, wer Personendaten geändert hat, z.B. Informationen in Personenprofilen aktualisieren.
• RBB-Gruppenänderungsbericht: Zeigt an, wer RBB-Gruppendefinitionen geändert hat, z. B. das Aktualisieren von Personenpools.
• RBB-Rollenänderungsbericht: Zeigt an, wer RBB-Rollendefinitionen geändert hat, z.B. das Aktualisieren von Rollenzuordnungen.
• Report zur Änderung der statischen Gruppenmitgliedschaft für rollenbasierte Berechtigungen: Zeigt an, wer statische RBB-Gruppenmitgliedschaften geändert hat, z. B. Hinzufügen oder Entfernen von Benutzern aus Gruppen.

Bei der Planung des RBB-Setups für den Kunden ist es wichtig, dass Sie die Auswirkungen auf den Systemdurchsatz und den Wartungsaufwand berücksichtigen. Darüber hinaus ist es wichtig, sich für weitere Änderungen auf einen Governance-Prozess zu einigen. Wir empfehlen folgendes Vorgehen: