SAP SuccessFactors の役割ベースの権限 (RBP) を使用したセキュリティの管理

• 管理者は多数の役割を定義できます。
• 動的なグループを作成することで、権限の割当を自動化できます。たとえば、付与されたユーザーのグループを "営業部の全社員" にできます。 社員が営業部に異動するか、営業部から他の部に異動すると、その社員の権限が自動で調整されます。
• 役割では、データおよび機能へのアクセスが定義されます。ここで、SAP SuccessFactors で各役割に許可する操作を定義します。たとえば、役割に対してダッシュボードの表示を許可するかどうかを定義します。
• 役割が定義されたら、その役割をユーザーのグループに付与します。これらのユーザーグループは、付与されたユーザーの円で表されます。
• 最後に、付与されたユーザーによる役割の実行範囲をターゲットユーザーに制限します。  たとえば、マネージャー (付与されたユーザーの円) がチーム (ターゲットユーザーの円) のダッシュボード (役割で定義) を表示できるように設定することができます。

SAP SuccessFactors における RBP の付与プロセスはシンプルです。

1. グループの作成: グループを作成し、必要な権限を付与して、それらの権限を持つユーザーによって管理されるグループを作成します。

2. 権限役割の作成: 各種の役割を定義します。権限役割では、データおよびアプリケーション機能へのアクセスが定義されます。

3. ユーザーまたはグループに対する役割の付与: ステップ 1 で作成されたターゲットグループを、ステップ 2 で作成された役割で追加します。これは、対象範囲への役割のリンクとも呼ばれます。

このプロセスは、誰が (権限グループ) 何を (権限役割)、誰に (対象範囲) 実行できるかを定義したものです。

SAP Help Portal で提供されている SAP SuccessFactors の役割ベースの権限導入ガイドには、SAP Successfactors HCM スイート全体で使用される RBP の包括的な一覧が含まれています。

SAP SuccessFactors RBP フレームワークでは、一連の権限が同じである社員のグループを定義するために権限グループが使用されます。たとえば、米国を拠点とし、報酬情報へのアクセス権を持つすべてのマネージャーを含む米国報酬マネージャーという権限グループを作成できます。同様に、権限グループを作成し、それが付与されたユーザーグループまたはユーザーがアクセスできる対象範囲を定義することもできます。たとえば、米国報酬マネージャーグループが監督する米国社員グループを定義することができます。

また、権限グループを使用することで、事前定義された条件を満たす社員をグループ化できます。この条件は、単一のパラメータ (HR 部署の場合は HR など) から作成できます。また、複数の条件を使用することもできます。たとえば、部署と事業所の条件を使用して米国 HR グループを作成し、米国の HR 社員のみが含まれるグループを作成できます。グループを絞り込むため、パラメータを追加できます。たとえば、米国 HR グループを制限し、財務部門へのアクセス権を持つ米国の HR 社員のみが含まれるようにすると、米国 HR 財務が作成されます。

詳しい説明が必要な場合は、'権限グループの作成' ビデオをご覧ください。

動的グループを作成するには、権限グループの管理に移動し、新規作成を選択します。グループ名フィールドに、動的グループ名を入力します。ユーザープールドロップダウンメニューから、グループメンバーを選択します。必要に応じて、同じグループに最大 4 つのユーザープールを含めることができます。次に、グループから除外するユーザーを選択します。終了したら、完了を選択します。

権限グループの定義時には、以下の標準フィールドのいずれかと、Employee Central が有効化されている場合には HRIS フィールドを使用することができます。利用可能な標準フィールドは、以下に限定されています。

権限グループのフィルターとして使用できる標準フィールドには、以下が含まれます。

権限グループのパラメータはいつでも変更できます。以下の一覧には、いくつかの追加変更が含まれています。

• 権限グループ名

• 権限グループのメンバー決定条件

• 権限グループに対するメンバーの追加

• 権限グループからのメンバーの除外

役割ベースの権限 (RBP) 管理者には、権限グループの管理管理ページに新しい列 ID が表示されます。

ID は、権限グループの作成時刻に従ってシステムによって生成されるシリアル番号です。

権限グループを区別するための一意の ID が必要です。

会社の組織変更により、SAP SuccessFactors における特定のシステムまたはグループのアクセス要件が変更される場合、権限グループを変更する必要があります。たとえば、会社で米国財務とカナダ財務という 2 つの部署を新たに北米財務部署に統合する場合、米国財務グループにカナダ財務部署の社員を含めることで、管理者は権限グループを米国財務から北米財務に変更することができます。

動的グループを変更するには、変更されるグループのアクションを実行ドロップダウンメニューからアクションを選択します。新しいグループメンバーの選択または除外 (もしくはその両方) により、グループを編集します。また、グループのコピー、削除、サマリーの表示、または変更履歴の表示も可能です。変更が終了したら、完了を選択します。

RBP では、権限役割を使用して権限のセットがグループ化されます。権限を役割にグループ化した後、役割をユーザーのグループに割り当てることで、システムにおける特定のタスクおよび機能へのアクセス権を付与できます。

権限役割は、社員に対し、特定の社員や社員グループへのアクセス権を付与する権限のセットで構成されます。そのため、権限役割が付与された社員や社員グループは、SuccessFactors アプリケーションや社員データの特定の要素にアクセスできるようになります。このアクセス権に基づき、アプリケーションに含まれる機能を他の社員グループに対して実行できます。

役割ベースの権限により、特定の社員、マネージャー、グループ、または会社内のすべての社員に役割を付与することができます。下の例が示すように、役割によって非常に粒度の高い権限を提供することができます。

例: 'HR 報酬および福祉手当マネージャー'、'HR 営業担当マネージャー'、'HR 学習および開発マネージャー' という役割があるとします。これら 3 つの役割はすべて HR マネージャーですが、それぞれの役割は明確に区別されています。すなわち、1 つ目は報酬と福祉手当、2 つ目は営業チーム、3 つ目は学習と開発を担当します。

権限役割が 1 つまたは複数の権限で構成され、対象範囲が必要とされる場合、役割の作成を完了するには対象を指定する必要があります。対象範囲が必要な役割には、他の社員のアクションを実行したり、情報を表示したりするためのアクセス権をグループに付与する権限が含まれています。

例: 1 つの権限によって直属の部下全員の給与を変更できる役割を、マネージャーに割り当てることができます。この例では、マネージャーの直属の部下が、権限役割に必要な対象範囲になります。

お客様は、会社が必要とする数の権限役割を持つことができます。役割ベースの権限 (RBP) の設定時に、権限の説明により役立つガイダンスが提供されます。管理者は、役割の設定および監査時の曖昧さを軽減する、アクション指向の明確な権限説明を利用することができます。

権限グループと同様に、権限役割および役割の割当をその ID で区別することができます。ID は、権限役割および役割割当の作成時刻に従って、システムによって生成されるシリアル番号です。これらは、権限役割および役割割当を区別する際に、名前よりも正確です。

役割ベースの権限管理者は、権限役割の割当タブで複数の役割の割当を有効化および無効化することができます。最大 30 件の役割の割当を同時に有効化または無効化することができます。

対象範囲: 役割に含まれる権限によっては、対象範囲を定義する必要もあります。すべての権限の対象範囲を定義する必要があるわけではありません。たとえば、権限にアプリケーションへのアクセス権 (学習へのアクセス権など) のみが含まれる場合は、対象グループを追加する必要がありません。一部の権限では、権限の設定画面で対象範囲を定義する必要があります。これは、権限名の横に表示される "t" アイコンで識別されます。以下のテキストが表示されます。

関係: アクセスグループを定義するために、関係 (マネージャーと社員の関係など) を使用できます。これらの関係は、階層関係と非階層関係のいずれかにできます。

全員または動的グループに権限役割が割り当てられる場合、以下の対象範囲オプションがあります。

• 全員
• 対象範囲:

  - 権限付与済ユーザーの部署

  - 権限付与済ユーザーの事業部

  - 権限付与済ユーザーの事業所

  - 権限付与済ユーザーのマネージャー

  - 権限付与済ユーザーの同僚

  - 権限付与済ユーザー (自分)

• 権限グループを選択することができます。

"付与されたユーザーが自分自身にアクセスできる権限を持つことを除外する" オプションもあります。これは、組織によっては、潜在力などに関して興味深いオプションになります。人事担当者のグループは、それぞれの事業所に属する全員の潜在力情報を表示できるものの、自分自身の潜在力評価は表示できないようにする必要があります。

作成した役割は、社員グループに割り当てる必要があります。これにより、社員に対し、タスクを実行するために必要なアクセス権が付与されます。

必要に応じ、役割に対象範囲を割り当てます。

社員フィールドで指定し、ツールを使用して管理することができる関係 (社員データなど) があります。

一般関係タイプ: 階層関係は、付与されたユーザと対象ユーザの間のレポートラインによって特徴付けられます。これらは、社員とそのマネージャー、セカンドマネージャー、または代替マネージャーの間の関係です。一方、非階層関係は単一レベルの関係です。社員と人事担当者、マトリクスマネージャー、およびカスタムマネージャーとの関係がこれに含まれます。各社員に対して許可されるマネージャー、セカンドマネージャー、および人事担当者は 1 人のみですが、マトリクスマネージャーとカスタムマネージャーは複数人にできます。

権限役割には、多数の役割を割り当てることができます。役割ベースの権限管理者は、検索、並べ替え、またはフィルター機能を使用して、役割ベースの権限で役割の割当検索を絞り込むことができます。

詳細については、ロール割当の検索、ソート、およびフィルタリングを確認してください。

RBP 管理者は、役割ベースの権限を使用して、権限役割の変更履歴とその割当を表示および比較することができます。権限役割の 2 つのバージョンを比較して、追加または削除された権限を確認することもできます。

権限役割の権限または役割割当を追加または削除すると、権限役割変更レコードが作成されます。ただし、2 つのバージョンを比較すると、権限の変更のみが強調表示されます。権限役割の履歴レコードを追跡する際に、各レコードの役割に関連付けられているすべての割当を表示することができます。2 つの履歴レコードを比較する際に、追加または削除された割り当てを表示することもできます。

テーブルレポートを使用して、RBP 設定を理解します。このレポートは、アクション検索→変更監査レポートから使用できます。

最終的には、最初にアクション検索→監査設定の管理からレポートを有効化する必要があります。

レポートは、設定された権限のトラブルシューティングおよび理解に役立ちます。RBP テーブルレポートは、システム内のすべての RBP データの集計です。この情報にアクセスし、出力形式 (PDF、Excel、PPT、および CSV) を使用して情報を共有することができます。以下のレポートを使用することができます。

• RBP ユーザーを役割に追加レポート
• RBP 権限をユーザーに追加レポート
• RBP ユーザーをグループに追加レポート
• 権限役割レポート
• 動的グループ定義のレポート

詳細については、この導入ガイド (IMG) を参照してください。

ユーザー役割マッピングの変更をトリガーしたユーザーまたは原因を特定するには、以下の 4 つの変更監査レポートを確認します。

• ユーザーデータレポート: 個人プロファイルでの情報の更新など、ユーザーデータを変更したユーザーが表示されます。
• RBP グループ変更レポート: RBP グループ定義を変更したユーザー (ユーザープールの更新など) が表示されます。
• RBP 役割変更レポート: 役割の割当の更新など、RBP 役割定義を変更したユーザーが表示されます。
• RBP 静的グループメンバー変更レポート: RBP 静的グループメンバーシップを変更したユーザー (グループへのユーザーの追加やグループからのユーザーの削除など) が表示されます。

顧客の RBP 設定を計画するときは、システムパフォーマンスへの影響と更新時の作業負荷を念頭に置くことが重要です。さらに、追加の変更を行うためのガバナンスプロセスについて合意することが重要です。推奨事項は次のとおりです。