SU24-Pflege verstehen und richtig einsetzen: Der Schlüssel zu sauberen SAP-Rollen

Wer im SAP-Berechtigungsumfeld Rollen aufbaut oder ein bestehendes Rollenkonzept überarbeitet, kommt an der SU24 früher oder später nicht vorbei.

Gerade in einer größeren Brownfield-Migration habe ich erlebt, welchen Unterschied sauber gepflegte Vorschlagswerte beim Rollenbau machen können. Gleichzeitig habe ich gesehen, wie viel zusätzliche Arbeit entsteht, wenn historisch stark mit manuellen Berechtigungsobjekten gearbeitet oder die SU24 nicht konsequent gepflegt wurde.

In diesem Beitrag möchte ich deshalb aus meiner eigenen Projekterfahrung zeigen, warum sich ein genauer Blick auf die SU24 lohnt.

Was macht die SU24 für den Rollenbau so wichtig?

Die SU24 enthält kundenspezifische Berechtigungsvorschlagswerte für Anwendungen. Diese Vorschlagswerte werden beim Rollenbau über die PFCG berücksichtigt.

Eine sauber gepflegte SU24 schafft eine wichtige Grundlage dafür, dass beim Rollenbau die passenden Berechtigungsobjekte und Werte vorgeschlagen werden.

In meinem aktuellen Projekt ist die SU24 deshalb kein Thema, das einmalig betrachtet wird. Im Rahmen der Rollenanpassungen sind Analyse und Recherche rund um die SU24 immer wieder Bestandteil unserer Arbeit.

Bei Updates und Upgrades kommt zusätzlich die SU25 ins Spiel: Sie unterstützt dabei, Änderungen an den von SAP ausgelieferten Berechtigungsvorschlagswerten zu prüfen und mit den kundenspezifischen Vorschlagswerten der SU24 abzugleichen. So kann die SU24 auch nach technischen Änderungen gezielt auf einem aktuellen Stand gehalten werden.

Meine Erfahrung aus einer Brownfield-Migration

Ich hatte die Möglichkeit, in einem größeren Brownfield-Projekt an der Neugestaltung einer Rollenstruktur mitzuwirken. Meine Aufgabe bestand unter anderem darin, anhand der Trace Daten aus den von mir betreuten Projektbereichen die SU24 zu analysieren und entsprechend zu pflegen.

Ist eine Transaktion bereits in der Rolle enthalten, fehlen aber die benötigten Berechtigungsobjekte in den Standardvorschlägen, müssen die entsprechenden Objekte und Feldwerte in der SU24 gepflegt werden. Damit diese Änderungen in der bestehenden Rolle berücksichtigt werden, muss die Rolle anschließend im Expertenmodus bearbeitet werden.

Gerade bei der SU24-Pflege spielen Trace-Daten eine zentrale Rolle. Von den Fachbereichen kann in der Regel nicht erwartet werden, dass sie die technisch benötigten Berechtigungsobjekte und Werte vollständig benennen können. Die Trace-Daten liefern hier die notwendige Grundlage, um die tatsächlich ausgeführten Prozesse und geprüften Berechtigungen nachzuvollziehen und daraus eine fundierte SU24-Pflege abzubilden.

Was kann bei einer unsauberen SU24 passieren?

Ein Problem, das ich in der Praxis kennengelernt habe, sind unpassende Berechtigungsobjekte oder Werte innerhalb einer Rolle.

Ein einfaches Beispiel: Eine Rolle soll eigentlich als reine Anzeigerolle aufgebaut werden und enthält dementsprechend Anzeigetransaktionen. Werden die Vorschlagswerte jedoch nicht passend gepflegt, können beim Rollenbau Berechtigungen vorgeschlagen werden, die nicht zum eigentlichen Zweck der Rolle passen.

Das macht die spätere Rollenpflege unnötig kompliziert und kann im schlechtesten Fall dazu führen, dass eine Rolle mehr Berechtigungen enthält als ursprünglich vorgesehen.

Gerade bei den Aktivitäten ist eine genaue Prüfung der erforderlichen Werte entscheidend. Bei einer Änderungstransaktion wie FB02 spielt das Feld ACTVT bei verschiedenen Berechtigungsobjekten eine zentrale Rolle und muss entsprechend dem tatsächlichen Anwendungsfall korrekt ausgeprägt werden.

Z-Transaktionen als besondere Herausforderung

Ein Thema, das in meinem Projekt aufgekommen ist, sind eigene Z-Transaktionen.

Bei Eigenentwicklungen sollte die SU24-Pflege besonders sorgfältig erfolgen und einen höheren Stellenwert erhalten.

Für diese Transaktionen werden standardmäßig keine Berechtigungsobjekte mit vorgeprägten Feldwerten mitgeliefert. Beim Rollenbau wird daher lediglich der Transaktionscode im Berechtigungsobjekt S_TCODE eingetragen.

Wenn entsprechende Trace-Daten zur Verfügung stehen, sollte es direkt geprüft werden, welche Berechtigungsobjekte tatsächlich benötigt werden und ob die Vorschlagswerte der jeweiligen Z-Transaktion bereits korrekt gepflegt sind. Wird dieser Schritt vergessen, entsteht später zusätzlicher Recherche- und Pflegeaufwand.

Praxisbeispiel aus dem SD-Bereich: In einem aktuellen Fall sollte eine funktionale Rolle erstellt werden, die ausschließlich eine Z-Transaktion enthält.

Auswirkung auf das Replikationskonzept: Das vorgesehene Replikationskonzept ließ sich jedoch nicht umsetzen, da die erforderlichen Organisationseinheiten über die Berechtigungsobjekte nicht in die Rolle übernommen wurden.

Warum manuelle Berechtigungsobjekte möglichst vermieden werden sollten

In unserem alten Rollenkonzept wurde häufig mit manuellen Berechtigungsobjekten gearbeitet.

Im neuen Rollenkonzept war unser Ansatz dagegen, stärker über den SAP-Standard und sauber gepflegte Vorschlagswerte zu arbeiten. Das hat einen wichtigen Vorteil bei späteren Änderungen.

Wenn ein Berechtigungsobjekt beispielsweise für bestimmte Transaktionen nicht mehr benötigt wird und dieses Objekt ursprünglich manuell in einer Rolle eingebaut wurde, greift eine spätere Anpassung der SU24 nicht. Genau hier kann langfristig erheblicher manueller Pflegeaufwand entstehen, zumal die manuellen Objekte aufgrund der fehlenden Transparenz immer mehr werden.

Deshalb ist der bessere Ansatz: Standard dort nutzen, wo Standard sinnvoll möglich ist, und manuelle Objekte bewusst als Ausnahme behandeln, zum Beispiel in Werterollen, die gezielt für das Zusammenspiel mit anderen Rollen konzipiert sind, zum Beispiel für granulare Kostenstellenberechtigungen. Auch bei Rollen für technische Benutzer können manuell gepflegte Berechtigungsobjekte sinnvoll sein.

Wie ich bei der SU24-Pflege vorgehe

Bei der SU24-Pflege wird zunächst geprüft, ob die hinterlegten Berechtigungsobjekte und Vorschlagswerte zu den jeweiligen Transaktionen und zum vorgesehenen Prozess passen. Hinweise auf Abweichungen ergeben sich beispielsweise aus Trace-Daten oder Verwendungsnachweisen.

Nach Updates oder Upgrades wird zusätzlich die SU25 mit einbezogen. Darüber lassen sich Änderungen an den von SAP ausgelieferten Berechtigungsvorschlagswerten mit den kundeneigenen Vorschlagswerten der SU24 abgleichen und relevante Änderungen gezielt übernehmen.

Mit zunehmender Projekterfahrung lassen sich fehlende oder unpassende Ausprägungen schneller erkennen und technisch einordnen. Entscheidend ist dabei, die Vorschlagswerte nicht isoliert zu betrachten, sondern immer im Zusammenhang mit der jeweiligen Transaktion und dem tatsächlich ausgeführten Geschäftsprozess.

Wann ist eine SU24 sauber gepflegt?

Meine Antwort darauf ist relativ einfach:

wenn die relevanten Transaktionen die passenden Berechtigungsobjekte und die entsprechenden Felder mit sinnvollen und korrekten Vorschlagswerten ausgeprägt sind.

Das Ziel sollte sein, beim Rollenbau möglichst wenig nachträglich händisch korrigieren zu müssen.

Die SU24 sollte dafür den kleinsten gemeinsamen Nenner der benötigten Berechtigungsobjekte und Vorschlagswerte abbilden, statt sämtliche rollenspezifischen Ausprägungen vorzugeben. Bei umfangreichen Cockpit-Transaktionen kann dieser gemeinsame Nenner jedoch sehr gering sein. SU24-Varianten helfen hier, unterschiedliche Anwendungsfälle gezielter abzubilden.

Wer eine Rollenlandschaft neu aufbaut oder ein bestehendes Berechtigungskonzept übernimmt, sollte deshalb die SU24 möglichst früh berücksichtigen und nicht erst dann, wenn beim Rollenbau Probleme entstehen.

Fazit: Kleine Pflege, große Auswirkungen

Mein wichtigstes Learning aus dem Projekt ist, dass sich die Arbeit an der SU24 langfristig auszahlt.

Eine gute SU24-Pflege kann:

• manuellen Pflegeaufwand reduzieren,

• den Rollenbau strukturierter machen,

• unpassende Berechtigungen vermeiden,

• Änderungen an Rollen besser beherrschbar machen und

• ein sauberes, wartbares Rollenkonzept unterstützen.

• Transparenz schaffen (wichtig für Lizenzen und SoDs)

Ihr braucht Unterstützung bei der Verwaltung eurer Rollen und Berechtigungen? Dann schaut gerne mal bei unseren Services vorbei.