Transaktion PFUD regelmäßig einplanen
FAZIT
Sollten Sie keine Referenzbenutzer einsetzen wollen, können Sie das Feld Referenzbenutzer für zusätzliche Rechte über eine Standardvariante zur Transaktion SU01 ausblenden. Die hierzu notwendigen Schritte werden im SAP-Hinweis 330067 beschrieben.
Der Einstieg in die Rollenpflege erfordert zusätzlich zur Änderungsberechtigung (Berechtigungsobjekt S_USER_AGR, ACTVT = 02) die Transportberechtigung (Berechtigungsobjekt S_USER_AGR, ACTVT = 21). Falls die Rollenaufzeichnung das Anlegen neuer Transportaufträge oder Aufgaben verlangt, benötigen Sie Berechtigungen zu den Objekten des Transportwesens (z. B. S_TRANSPRT mit TTYPE = CUST oder TASK und ACTVT = 02).
Kundenspezifische Berechtigungen einsetzen
Rote Ampeln nach einem Rollentransport verheißen nichts Gutes. Um die Aktualität der Profilzuordnung zu jeder Zeit sicherzustellen, sollten Sie regelmäßig einen Benutzerabgleich durchführen. Sicherlich haben Sie festgestellt, dass es Situationen gibt, in denen die Profile Ihrer Anwender nicht aktuell sind. Dies kann z. B. nach einem Rollentransport oder beim Zuweisen von Benutzern zu Rollen in der Transaktion PFCG geschehen. Es verhält sich ähnlich, wenn Sie die Rollen indirekt über das Organisationsmanagement (siehe Tipp 13, »Rollen über das Organisationsmanagement zuordnen«) zuordnen oder die Gültigkeitsdauer von Rollen für Benutzer einschränken. In diesen Fällen kann es sein, dass der Anwender zwar über eine PFCG-Rollenzuweisung verfügt, das dazugehörige Profil allerdings nicht aktuell ist. Eine rote Ampel vor einem Rollennamen im Benutzerstamm in der Transaktion SU01 oder eine gelbe Ampel in der Transaktion PFCG auf der Registerkarte Benutzer macht Sie auf solche Unstimmigkeiten aufmerksam.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite "www.sap-corner.de".
Eine Rolle, die Sie als Design-Time-Objekt im Design Time Repository erstellt haben, müssen Sie aktivieren, bevor diese einem Benutzer zugeordnet werden kann.