Benutzerberechtigungen mit Rollen und Profilen pflegen

Benutzer können sich an einem Mandanten eines SAP-Systems anmelden, wenn sie einen Benutzerstammsatz haben und ihren Benutzernamen und ihr Kennwort kennen und wenn der Benutzertyp für die Anmeldeart berechtigt ist. Beispielsweise kann sich ein Kommunikations- oder Systembenutzer nicht über das SAP GUI anmelden.

Nachdem sich die Benutzer am SAP-System angemeldet haben, werden sie produktiv arbeiten, indem sie Anwendungen aufrufen. Wie in der Abbildung „Benutzer und Berechtigungen" dargestellt, findet im SAP-System bei jedem Aufruf einer Anwendung eine Berechtigungsprüfung statt.

Wenn Benutzer versuchen, eine Anwendung zu starten, für die sie keine Berechtigung haben, lehnt das System den Benutzer mit einer Fehlermeldung ab. Wenn der Benutzer eine zulässige Anwendung startet, zeigt das System das Einstiegsbild dieser Anwendung an. Abhängig von der aufgerufenen Anwendung gibt der Benutzer Daten ein und führt Aktionen auf diesem Bild aus. Für die zu schützenden Daten und Aktionen können weitere Berechtigungsprüfungen stattfinden.

Um das ABAP-Berechtigungskonzept zu verstehen und eigene Rollen und Berechtigungen anlegen zu können, sind Grundkenntnisse von Rollen und Berechtigungsprofilen im Benutzerstammsatz erforderlich.

Im ABAP-basierten SAP-System werden Aktionen und der Zugriff auf Daten durch Berechtigungsobjekte geschützt. Die Berechtigungsobjekte werden von SAP ausgeliefert und sind in den SAP-Systemen vorhanden. Aus Gründen der Übersichtlichkeit sind Berechtigungsobjekte in verschiedene Objektklassen unterteilt.

Berechtigungsobjekte ermöglichen komplexe, an mehrere Bedingungen gebundene Prüfungen, die einem Benutzer erlauben, eine Aktion durchzuführen. Die Bedingungen werden in Berechtigungsfeldern zu den Berechtigungsobjekten angegeben und bei der Prüfung verknüpft. Berechtigungsobjekte und ihre Felder haben beschreibende und technische Namen. Ein Berechtigungsobjekt kann bis zu 10 Berechtigungsfelder umfassen.

Die Abbildung „Berechtigungsrollen" zeigt ein Beispiel für das Berechtigungsobjekt „Benutzerstammpflege: Benutzergruppen" (technischer Name: S_USER_GRP), das Benutzerstammsätze schützt. Das Berechtigungsobjekt S_USER_GRP enthält zwei Felder: Aktivität (technischer Name: ACTVT) und Benutzergruppe im Benutzerstammsatz (technischer Name: CLASS).

Eine Berechtigung ist immer mit genau einem Berechtigungsobjekt verknüpft und enthält den Wert für die Felder eines Berechtigungsobjekts. Eine Berechtigung ist eine Erlaubnis, eine bestimmte Aktion im SAP-System durchzuführen. Die Aktion wird auf der Grundlage der Werte für die einzelnen Felder eines Berechtigungsobjekts festgelegt. Im Beispiel erlaubt die Berechtigung A zum Berechtigungsobjekt S_USER_GRP das Anlegen, Ändern und Anzeigen aller Benutzerstammsätze, die der Benutzergruppe SUPER zugeordnet sind. Die Berechtigung B hingegen erlaubt nur die Anzeige von Benutzerstammsätzen für Benutzergruppen, die mit A-SUPEQ und SUPERA-Z beginnen.

Aus einem Berechtigungsobjekt können mehrere Berechtigungen generiert werden. Einige Berechtigungen werden bereits von SAP ausgeliefert, aber die meisten werden speziell für die Anforderungen des Kunden angelegt.

Wenn sich ein Benutzer an einem Mandanten eines SAP-Systems anmeldet, werden seine Berechtigungen in den Benutzerkontext geladen (siehe Abbildung Berechtigungsprüfung). Der Benutzerkontext liegt im Benutzerpuffer (im Hauptspeicher) des Anwendungsservers. Er kann über die Transaktion SU56angezeigt werden.

Wenn ein Benutzer eine Transaktion aufruft, prüft das System, ob der Benutzer im individuellen Benutzerkontext die erforderliche Berechtigung zum Aufruf der ausgewählten Transaktion hat. Berechtigungsprüfungen nutzen die Berechtigungen im Benutzerkontext. Werden dem Benutzer neue Berechtigungen zugeordnet, dann kann es notwendig sein, dass dieser sich neu am SAP-System anmelden muss, damit diese genutzt werden können. (Weitere Informationen finden Sie im SAP-Hinweis 452904 – Verlust der Berechtigung nach Profilgenerierung und in der Dokumentation des Parameters auth/new_buffering).

Ist die Berechtigungsprüfung für den Aufruf einer Transaktion erfolgreich, wird das Einstiegsbild der Transaktion angezeigt. Abhängig von der Transaktion kann der Benutzer Daten anlegen bzw. Aktionen auswählen. Wenn der Benutzer den Dialogschritt abschließt, werden die Daten an den Dispatcher gesendet, der sie zur Verarbeitung an einen Dialog-Workprozess übergibt. Für die zu schützenden Daten und Aktionen wurden von den ABAP-Entwicklern Berechtigungsprüfungen (Befehl AUTHORITY-CHECK) im Coding eingebaut, die zur Laufzeit im Workprozess geprüft werden. Wenn Benutzer alle erforderlichen Berechtigungen in ihrem individuellen Benutzerkontext für die Prüfungen haben (Rückgabewert = 0), werden die Daten und Aktionen verarbeitet und das nächste Bild wird angezeigt. Wenn die erforderliche Berechtigung fehlt, werden die Daten und Aktionen nicht verarbeitet, und der Benutzer erhält eine Meldung, dass die zugeordneten Berechtigungen nicht ausreichen. Dieses wird durch das Auswerten des Rückgabewerts gesteuert. In diesem Fall ist er ungleich 0.

Alle Berechtigungen sind Erlaubnisse. Es gibt keine Berechtigungen, die Aktionen verbieten. Es ist alles verboten, was nicht explizit erlaubt ist. Es handelt sich also um ein positives Berechtigungskonzept.

Die Rollenpflege (Transaktion PFCG, früher auch Profilgenerator genannt) vereinfacht die Erstellung von Berechtigungen und deren Zuordnung zu Benutzern. Wie in der Abbildung „Rollenpflege" dargestellt, werden in PFCG Transaktionen ausgewählt, die aus Unternehmenssicht zusammengehören. Die Rollenpflege legt automatisch Berechtigungen mit den erforderlichen Feldwerten für die Berechtigungsobjekte an, die in den ausgewählten Transaktionen geprüft werden.

Eine Rolle kann mehreren Benutzern zugeordnet werden. Änderungen an einer Rolle wirken sich daher auf mehrere Benutzer aus. Benutzer können verschiedenen Rollen zugeordnet sein.

Wie in der Abbildung „Menülayout" dargestellt, besteht das Benutzermenü aus den Rollenmenüs und enthält die Einträge (startbare Anwendungen, URLs, Berichte usw.), die dem Benutzer über die Rollen zugeordnet sind.

Um das Menü einer Rolle in PFCG zu bearbeiten, geben Sie den Namen der Rolle ein, und wählen Sie das Symbol für Anlegen oder Ändern. Wählen Sie die Registerkarte Menü.

Hier können Sie Funktionen auswählen und ändern: Der Menübaum kann für die einzelnen Rollen nach Bedarf angepasst werden.

• Sie können startbare Anwendungen wie Transaktionen, Web-Dynpro-Anwendungen oder SAP-Fiori-Objekte (z.B. Kataloge oder Gruppen) in die Baumstruktur einfügen und vorhandene Einträge löschen.

• Wenn Sie im Dropdown-Menü von „Knoten einfügen" Bericht wählen, können Sie auch Berichte integrieren. Die Rollenpflege erzeugt in diesem Fall (wenn nicht schon vorhanden) Transaktionscodes, über die diese Berichte aufgerufen werden können.

• Wenn Sie im Dropdown-Menü der Drucktaste Knoten einfügen die Funktion Web-Adresse oder Datei wählen, können Sie Internetadressen oder Dateiverweise (z.B. Tabellen oder Textdateien) hinzufügen. Bei der Integration von Dateien müssen anstelle von URLs die zugehörigen Ablagepfade angegeben werden. Sie können auch SAP-Business-Warehouse-Webberichte und Links zu externen Mailsystemen und Knowledge Warehouse angeben.

• Die Berechtigungen für SAP-Fiori-Anwendungen werden auch über die Rollenpflege angelegt. Sie können Berechtigungen für SAP-Fiori-Kataloge, SAP-Fiori-Gruppen und ab SAP S/4HANA 2020 auch für SAP-Fiori-Bereiche pflegen, indem Sie die Option SAP Fiori Launchpad im Dropdown-Menü der Drucktaste Transaktion wählen.

Darüber hinaus können Sie Menüs ändern, indem Sie Verzeichnisse oder Unterverzeichnisse Ihren Anforderungen entsprechend anlegen, verschieben, löschen oder umbenennen. In der Rollenpflege steht die Drag&Drop-Funktion zur Verfügung.

Die Rollenpflegeerzeugt automatisch die Berechtigungen, die zu den im Menübaum angegebenen Transaktionen gehören. Trotzdem müssen alle Berechtigungswerte entsprechend den tatsächlichen Anforderungen und Befugnissen beim Kunden manuell überprüft und gegebenenfalls angepasst werden. Für diese Aufgaben ist der Systemadministrator in Zusammenarbeit mit der jeweiligen Fachabteilung verantwortlich. Wenn Sie Organisationsebenen verwenden, führen Sie die Pflege nicht direkt im Feld durch, sondern über die Drucktaste Organisationsebenen....

Wie in der Abbildung Berechtigungsprofile generieren dargestellt, wählen Sie die Registerkarte Berechtigungen und dann je nach Pflegemodus Berechtigungsdaten anzeigen oder Berechtigungsdaten ändern. Überprüfen Sie den Umfang und den Inhalt der Berechtigungen.

Wenn Systemvorschläge vorhanden sind, zeigt eine grüne Ampel in der Berechtigungsübersicht an, dass die Rollenpflege für jedes Berechtigungsfeld mindestens einen Vorschlag geliefert hat. Eine gelbe Ampel weist darauf hin, dass manuell nachgepflegt werden muss. Die Rollenpflege stellt keinen Vorschlagswert für die Berechtigung bereit. Im obigen Beispiel, das sich mit der Benutzerpflege in Bezug auf Benutzergruppen befasst, bietet die Rollenpflege keinen Vorschlag darüber an, welche Benutzergruppen von einem Benutzer gepflegt werden sollen, der dieser Rolle zugeordnet wird.

Manche Felder kommen in vielen Berechtigungen vor. Einige wichtige Felder wurden daher zu sogenannten Organisationsebenen zusammengefasst, wie z.B. der Buchungskreis. Pflegt man die Organisationsebene über die dafür vorgesehene Schaltfläche Orgebenen... durch einen Eintrag, pflegt man alle darin vorkommenden Felder auf einmal. Eine rote Ampel zeigt daher eine nicht gepflegte Organisationsebene an.

Sind alle Berechtigungen bedarfsgerecht gepflegt, kann das Berechtigungsprofil durch Anklicken der Drucktaste Generieren erzeugt werden. Nach dem Anlegen ist der Profilname nicht mehr änderbar. Die Berechtigungen werden in Profilen gruppiert. Die Profile müssen (von der Rollenpflege) in den Benutzerstammsatz eingetragen werden, damit die Berechtigungen für den Benutzer wirksam sind. Dies wird als Benutzerabgleich bezeichnet.

Nach dem Anlegen ist der Profilname nicht mehr änderbar. Die Berechtigungen werden in Profilen gruppiert. Die Profile müssen (von der Rollenpflege) in den Benutzerstammsatz eingetragen werden, damit die Berechtigungen für den Benutzer wirksam sind. Dies wird als Benutzerabgleich bezeichnet.

Die Zuordnung von Benutzern zu Rollen wird in der Transaktion für die Rollenpflege (PFCG) oder in der Transaktion für die Benutzerpflege (SU01) vorgenommen. Wählen Sie die Registerkarte Benutzer und dort die zu pflegenden Benutzerkennungen aus. Bei der Auswahl der Benutzerkennungen verwendet das System das Tagesdatum als Beginn der Gültigkeit der Zuordnung; als Enddatum wird der 31.12.9999 gesetzt. Beide Werte können verändert werden.

Wie in der Abbildung Benutzern Rollen zuordnen dargestellt, können Benutzer mit mehreren Rollen verbunden werden. Dies kann beispielsweise dann sinnvoll sein, wenn einzelne Tätigkeiten (z.B. Drucken) rollenübergreifend zulässig sein sollen.

Die Zuordnung von Rollen zu Benutzern verleiht deren Trägern nicht automatisch die entsprechenden Berechtigungen. Zur Zuordnung der Berechtigungen muss zunächst ein Benutzerabgleich durchgeführt werden, bei dem das Profil der Rolle in den Benutzerstammsatz eingetragen wird. Dies ist in der Abbildung Benutzerabgleichdargestellt.

Ein Benutzerabgleich bestimmt, ob dem aktuellen Benutzer aufgrund der individuellen Rollenzuordnung Berechtigungsprofile hinzugefügt oder daraus entfernt werden sollen. Profile werden aufgrund hinzugekommener Rollen bei einem Abgleich in den Benutzerstammsatz eingetragen. Wenn Rollenzuordnungen manuell oder zeitabhängig gesteuert aufgehoben werden, werden die entsprechenden Berechtigungsprofile aus dem Benutzerstammsatz gelöscht.

Der Abgleich kann für jede Rolle einzeln erfolgen. Wählen Sie hierzu die Rolle in der Rollenpflege (Transaktion PFCG), wählen Sie die Registerkarte Benutzer und dann Benutzerabgleich. Wählen Sie im daraufhin angezeigten Dialogfenster Vollständiger Abgleich.

Wenn Sie mehrere Rollenzuordnungen aktualisieren müssen, können Sie in der Rollenpflege unter Hilfsmittel → Massenabgleich (Transaktion PFUD) einen entsprechenden Abgleich durchführen. Sie können die gewünschten Rollen einzeln angeben oder durch Eingabe des Sternchens (*) alle Zuordnungen aktualisieren.

Der periodische Benutzerstammabgleich wird ebenfalls in der Transaktion PFCG unter Hilfsmittel → Massenabgleich aktiviert. Wählen Sie die Option Hintergrundjob für den Gesamtabgleich einplanen oder überprüfen. Sie gelangen dann in ein Suchfenster für den Hintergrundjob PFCG_TIME_DEPENDENCY. Wird kein entsprechender Job gefunden, können Sie diesen neu anlegen. Mit dem Standardwert werden alle Benutzerstammsätze einmal pro Tag abgeglichen.