Systembenutzer und RFC-Destinationen
Auf Grund der geänderten Kennwortänderungspflicht der Benutzertypen (siehe Hinweis 622464) in Kombination mit den Profilparametern (siehe Hinweis 450452) empfehlen wir Ihnen, anstelle der Systembenutzer künftig technische Benutzer vom Typ System zu verwenden.
Verwendung
In diesem Abschnitt erhalten Sie einen Überblick über das Zusammenspiel von Systembenutzern, RFC-Destinationen und Berechtigungsrollen der Systembenutzer und die Administrationsaufgaben, die damit verbunden sind. Das genaue Vorgehen wird in den nachfolgenden Abschnitten beschrieben.
Für die interne Kommunikation der Systeme in einem ALE-Verbund (das Verteilen der Benutzerdaten) werden Systembenutzer (in älteren Releases CPIC-Benutzer genannt) benötigt. Diese in den Zielsystemen definierten Systembenutzer werden in den aufrufenden Systemen in RFC-Destinationen eingetragen. Um die Sicherheit Ihrer Systemlandschaft zu erhöhen, vergeben Sie beim Anlegen der Systembenutzer nur noch stark eingeschränkte, in speziellen Rollen zusammengefasste Berechtigungen an die Systembenutzer (wie im Abschnitt Systembenutzer anlegen beschrieben).
Im Prinzip würde eine Benutzerkennung (z. B. SAPCPIC) genügen, die Sie für alle Systembenutzer verwenden. Allerdings wäre es damit praktisch unmöglich, später das Kennwort des Systembenutzers zu ändern oder auch nur geheim zu halten, da es mehrere verwendende RFC-Destinationen geben kann. Damit Sie später bei Kennwortänderungen des jeweiligen Systembenutzers nur an einer Stelle tatsächlich das Kennwort ändern müssen, verwenden Sie pro RFC-Destination einen eigenen Systembenutzer. Daher gibt es in Ihrer Systemlandschaft ebenso viele Systembenutzer wie RFC-Destinationen.
Für diese Systembenutzer fallen keine zusätzlichen Lizenzgebühren an.
Um die Verwaltung der Systembenutzer zu vereinfachen, verwenden Sie folgende Namenskonventionen:
· Im Zentralsystem die Namenskonvention CUA_<Systemkennung>. Diese Systembenutzer werden im Tochtersystem in den RFC-Destinationen vom Tochter- zum Zentralsystem verwendet.
Für alle logischen Systeme im SAP-System ADM ergibt sich somit für den Systembenutzer der Name CUA_ADM.
· Im Tochtersystem die Namenskonvention CUA_<Systemkennung>_<Mandant>. Diese Systembenutzer werden im Zentralsystem in den RFC-Destinationen vom Zentral- zum Tochtersystem verwendet.
Im Tochtersystem geben Sie den Mandanten im Namen des Systembenutzers an, damit auch nach der Benutzerübernahme in das Zentralsystem unterschiedliche Systembenutzer für die verschiedenen Tochtersysteme vorhanden sind.
In den Tochtersystemen legen Sie jeweils einen Systembenutzer für die RFC-Verbindung vom Zentralsystem zum Tochtersystem an (z. B. im Tochtersystem CRM, Mandant 800, den Systembenutzer CUA_CRM_800, der von der im Zentralsystem ADM definierten RFC-Destination CRMCLNT800 verwendet wird). Falls sich mehrere Tochtersysteme in einem SAP-System befinden (z. B. PRDCLNT324 und PRDCLNT800), legen Sie in einem dieser Tochtersysteme einmal mandantenübergreifend die RFC-Destination für die Rückverbindung (z. B. ADMCLNT070) an. Weitere Informationen zum Vorgehen beim Anlegen der Systembenutzer und RFC-Destinationen erhalten Sie unter Systembenutzer anlegen und RFC-Destination für Zielsystem anlegen.
Im Zentralsystem legen Sie für alle Tochtersysteme innerhalb eines SAP-Systems einen gemeinsamen Systembenutzer für die Rückverbindung vom Tochter- zum Zentralsystem an (z. B. im Zentralsystem ADM, Mandant 070, den Systembenutzer CUA_CRM, der von der im Tochtersystem CRM definierten RFC-Destination CRMCLNT070 verwendet wird). Dabei zählt auch das System, das Sie beim Einrichten der ZBV als Zentralsystem definieren, als Tochtersystem, dessen Daten erst noch in die Zentrale übernommen werden müssen.
Systemlandschaft der Zentralen Benutzerverwaltung
Beispiel zu nachfolgenden Vorgehensweisen
Arbeiten im SAP-System ADM
...
1. Sie legen im logischen System ADMCLNT070 folgende Systembenutzer mit den Rollen SAP_BC_USR_CUA_SETUP_CENTRAL und SAP_BC_USR_CUA_CENTRAL (siehe Berechtigungen der Systembenutzer definieren) an:
¡ CUA_ADM mit <Kennwort 1>
¡ CUA_PRD mit <Kennwort 2>
¡ CUA_CRM mit <Kennwort 3>
2. Sie legen im logischen System ADMCLNT075 den Systembenutzer CUA_ADM_075 mit den Rollen SAP_BC_USR_CUA_SETUP_CLIENT und SAP_BC_USR_CUA_CLIENT an.
3. Sie legen mandantenübergreifend folgende RFC-Destinationen an und verwenden dabei die Systembenutzer, die Sie im jeweiligen Tochtersystem angelegt haben:
¡ ADMCLNT070 (vom Zentralsystem auf sich selbst) mit Benutzer CUA_ADM
¡ ADMCLNT075 mit Benutzer CUA_ADM_075
¡ PRDCLNT324 mit Benutzer CUA_PRD_324
¡ PRDCLNT800 mit Benutzer CUA_PRD_800
¡ CRMCLNT800 mit Benutzer CUA_CRM_800
Arbeiten im SAP-System PRD
...
1. Sie legen im logischen System PRDCLNT324 den Systembenutzer CUA_PRD_324 mit den Rollen SAP_BC_USR_CUA_SETUP_CLIENT und SAP_BC_USR_CUA_CLIENT an.
2. Sie legen im logischen System PRDCLNT800 folgenden Systembenutzer CUA_PRD_800 mit den Rollen SAP_BC_USR_CUA_SETUP_CLIENT und SAP_BC_USR_CUA_CLIENT an.
3. Sie legen einmal mandantenübergreifend die RFC-Destination ADMCLNT070 an. Verwenden Sie in dieser RFC-Destination den im Zentralsystem angelegten Systembenutzer CUA_PRD.
Arbeiten im SAP-System CRM
...
1. Sie legen im logischen System CRMCLNT800 folgenden Systembenutzer CUA_CRM_800 mit den Rollen SAP_BC_USR_CUA_SETUP_CLIENT und SAP_BC_USR_CUA_CLIENT an.
2. Sie legen einmal mandantenübergreifend die RFC-Destination ADMCLNT070 an. Verwenden Sie in dieser RFC-Destination den im Zentralsystem angelegten Systembenutzer CUA_CRM.