Change-Management
Hintergrundverarbeitung
Der Aufruf Ihrer Implementierung des BAdIs erfolgt als letzter Schritt des Speichervorgangs von Benutzerdaten. Dies gilt für alle Transaktionen oder Funktionsbausteine, die Änderungen an den Benutzerdaten vornehmen. Daher wird das BAdI auch bei der Pflege durch das BAPI BAPI_USER_CHANGE aufgerufen. Dieses BAPI nutzen Sie, wenn Sie einen Self-Service für das Zurücksetzen von Passwörtern implementieren, wie wir es in Tipp 52, »Passwörter mittels Self-Service zurücksetzen«, beschreiben. So ermöglichen Sie den verschlüsselten E-Mail-Versand von Initialpasswörtern im Rahmen eines Self-Services.
Diesen Rollen können Sie nun Transaktionen zuordnen. Die Erfahrung zeigt, dass Rollen applikationsspezifisch bleiben sollten und ferner eine Unterscheidung zwischen buchenden bzw. anlegenden, ändernden und lesenden Rollen sinnvoll ist. Es wird regelmäßig Transaktionen geben, die in mehreren Rollen verwendet werden. Die oft geforderte Redundanzfreiheit sollten Sie nicht zu hoch bewerten. Für kritische Transaktionen oder für Transaktionen, die Anteil an einem Funktionstrennungskonflikt haben, empfiehlt es sich aber, diese in einer eigenen Rolle vorzuhalten. Generell sollten Rollen nicht zu viele Transaktionen enthalten; kleinere Rollen sind einfacher zu warten und einfacher abzuleiten. Ihre Vergabe führt auch nicht so zügig zu dem Problem, dass Benutzer über zu viele Berechtigungen verfügen. Sofern Sie die notwendigen Funktionstrennungen gleich festhalten, haben Sie diese auch schon als Take-away vorbereitet.
Durch rollenbasierte Berechtigungen Ordnung schaffen
Sie haben nun erfolgreich eine Aufzeichnung der Blaupause erstellt. Nun folgt der etwas kniffligere Teil: Die Identifikation der Werte, die jeweils bei der Massenausführung geändert werden sollen. Im Editor Ihrer Testkonfiguration steht unten in der Textbox die erstellte Aufzeichnung: TCD ( PFCG , PFCG_1 ). Klicken Sie doppelt auf die Schnittstelle PFCG_1. Rechts erscheint ein neuer Ausschnitt mit den Aufzeichnungsdetails. Nun müssen Sie ein wenig nach Ihren Eingaben suchen. Verwenden Sie z. B. den auf dem PFCG-Einstiegsbild eingegebenen Rollennamen (Feldname 'AGR_NAME_NEU'). Jetzt kommt ein wichtiger Schritt: Ersetzen Sie die von Ihnen während der Aufzeichnung eingegebenen Werte durch einen Platzhalter, einen sogenannten Inputparameter. Gehen Sie dazu in die Zeile VALIN, und tippen Sie anstelle des eingegebenen Rollennamens einen beliebigen Parameternamen ein, z. B. ROLLENNAME. Klicken Sie auf die Eingabetaste, werden Sie gefragt, um welche Art von Parameter es sich handelt. Geben Sie Import an, und bestätigen Sie mit Ja.
Standardberechtigungen, die für eine funktional vollständig zu beschreibende Rolle benötigt werden, sollten entsprechend gepflegt werden. Es ist empfehlenswert, nicht benötigte Berechtigungen oder auch ganze Berechtigungszweige zu deaktivieren und nicht zu löschen. Berechtigungen, die auf den Aktivstatus Inaktiv gesetzt wurden, werden zum einen bei einem erneuten Abmischen nicht erneut als neue Berechtigungen in den Berechtigungsbaum aufgenommen, und zum anderen werden diese Berechtigungen bei der Profilgenerierung nicht mitberücksichtigt und somit auch nicht im zugrunde liegende Profil einer Rolle zugewiesen.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Denn über diese Einstellungen können Sie steuern, wie Passwörter in Ihren Systemen generiert werden.
Nun suchen Sie nach einem einfachen Weg, um Rollenzuordnungen zu löschen, bei denen der Gültigkeitszeitraum abgelaufen ist, bzw. um mehrfach vergebene Rollenzuordnungen aufzuräumen.