権限管理の編成 

権限では、ユーザマスタレコードとロールの管理を柔軟に編成し、権限を与えることができます。

●      会社が小規模であり、1 ヶ所に集約されている場合は、ユーザマスタレコードや権限コンポーネントの管理をすべて、1 人のスーパーユーザに任せることができます。

スーパーユーザの設定に関する追加情報については、特殊ユーザの保護を参照してください。

●      ユーザの会社の規模と組織に応じて、ユーザマスタレコードと権限の管理をそれぞれ限定された担当領域を持つ複数の管理者に担当させる必要があります。これは特に、異なるタイムゾーンが適用される場合のある分散環境である場合に必要です。また、これによってシステムセキュリティを確保することができます。

各管理者は、特定のタスクのみを実行することができます。これらのタスクを区別して、1 人のスーパーユーザがすべてのユーザ権限を管理することができないように設定します。また、1 人だけですべての権限とプロファイルを承認することがないようにします。さらに、権限の登録と割当の標準的な手順も定義します。

ユーザの権限と権限管理する権限を制限することができるため、管理者はデータ処理組織において特別権限をもつユーザである必要はありません。ユーザと権限の管理を、一般のユーザに割り当てることができます。

ロール管理ツールおよび機能 (トランザクション PFCG) を使用して、ロール、権限、プロファイルの更新を行うことを推奨します。これらの機能によって、特定のプロセスが自動化され、権限プランにより柔軟性を持たせることができ、業務の簡素化が可能となります。集中ユーザ管理機能を使用して、SAP 提供のロール、ユーザ独自の新規ロールを一元的に編集し、それらのロールを任意の数のユーザに割り当てることもできます。

ロール管理ツールを使用する場合の組織

ロール管理ツールを使用する場合は、領域 (部門、原価センタ、または他の組織ユニット) 内の管理タスクを、以下の管理者タイプに分散することができます。

●      ロール (トランザクション選択と権限データ) の登録、トランザクションの選択、権限データの編集を行う権限データ管理者。権限データ管理者にはプロファイルを生成する権限が与えられないため、ロール管理ツールではデータ保存のみを行います。この際、T_.... で開始されるデフォルトプロファイル名をそのまま使用します。

●      データのチェックと承認を行い、権限プロファイルを生成する権限プロファイル管理者。これを行うには、トランザクション SUPC で全ロールを選択し、編集されるロールの略語を指定します。次の画面で、プロファイル照会を選択して、データをチェックします。

●      ユーザ管理トランザクション (SU01) でユーザデータを編集し、ロールをユーザに割り当てるユーザ管理者。ユーザ管理者はユーザマスタレコードに承認されたプロファイルを入力します。

これらの 1 つまたは複数の領域の管理者は、ユーザマスタレコード、プロファイル、および権限を設定するスーパーユーザによって管理します。スーパーユーザ、ユーザ管理者、権限管理者を SUPER グループに割り当てることを推奨します。事前定義されたユーザ管理権限を使用する場合は、このようにグループを割り当てることで、ユーザ管理者は自分自身または他の管理者のユーザマスタレコードを変更することができなくなります。事前定義されたプロファイル S_A.SYSTEM を持つ管理者だけが、グループ SUPER のユーザを編集することができます。

セクションユーザおよび権限管理者の設定では、個々の管理者に割り当てる必要のあるタスク、割り当てる必要のないタスク、これらのタスクに対して事前定義したテンプレートについて確認することができます。

“T" で開始される権限プロファイルには、重要な権限オブジェクト(S_USER* オブジェクト) を含めることはできません。