de en en en de tr de de de de de de de de de de en en en en en en en en en en en en en de en en de en en en nb de en de de de de de en en en en en en de en de de en it en en de de en de en en en de ca en en en de de de en de de de de de de de en de en de de en en br de de de de de de de en de de de de de de de de de de it de de de en de de de en de de br de de de de en de de de de wa de en de de de de de fr en fr en it en sv en de de de de de en de de it de de de de de fr en fr en it en sv en de ca de de en
Hier geht’s direkt zu Teil 2: Brownfield
Greenfield: Ein Weg der Berechtigungsmigration
SAP Fiori Integration in der XAMS: Welche SAP Fiori App darf es sein?
Fiori Administration – Ein kleiner Hinweis am Rande
Auch die Erstimplementierung von SAP S/4HANA fällt unter den Greenfield-Ansatz. Da Statistikdaten, auch ST03N-Daten genannt, hierbei nicht als optimale Grundlage für das Aufsetzen des neuen Berechtigungskonzepts genutzt werden können, so bietet Xiting auch hierzu eine Lösung. Mit XAMS Quick Start können Sie „out of the box“ Vorlagerollen nutzen und direkt loslegen.
Hier sehen sie beide Greenfield-Ansätze im Vergleich. Weitere Informationen hierzu finden Sie außerdem in diesem Blog.
Abbildung 1: Projektoptionen Greenfield
Im Folgenden, siehe Abbildung 2, sehen Sie die drei wichtigsten Projektphasen einer Greenfield-Neuimplementierung. Dabei gehe ich auf XAMS Features ein, mit denen Sie gerade herausfordernde und oftmals langwierige manuelle Schritte effizient bewältigen können.
Abbildung 2: Projektmethodik Greenfield Neuimplementierung
In dieser Projektphase führen Sie die konzeptionellen Arbeiten durch und modellieren gemeinsam mit Ihren Fachbereichen ein stellenbezogenes und regelkonformes Rollenkonzept. Ein stellenbezogenes Rollenkonzept orientiert sich an den Arbeitsplätzen (Job-Funktion), die ein Benutzer innehat. Die Neukonzipierung funktionierender SAP-Berechtigungen ist technisch wie organisatorisch komplex, gerade im Hinblick auf den inhaltlichen Abgleich mit der SAP Simplification List, die die SAP S/4HANA-relevanten Änderungen dokumentiert. Die Bedarfsermittlung erfordert einen hohen Abstimmungsgrad mit dem Business, um notwendige Transaktionen, SAP Fiori-Apps und Prozesse berechtigungsseitig zu identifizieren. Mithilfe des Role Designer der XAMS kann die Projektphase vereinfacht werden, da dieses Modul Ihnen direkt verschiedenste Modellierungs- und Migrationsfunktionen für Rollen und Statistikdaten anbietet. Der Role Designer bietet die Möglichkeit Benutzerstatistikdaten aus dem Altsystem anhand der definierten Stellen zu gruppieren und den funktionalen Rollenumfang zu entwerfen. Mit der integrierten SAP Simplification List entfällt des Weiteren der manuelle Abgleich S/4HANA-bedingter Änderungen, wodurch Sie maßgeschneiderte und gleichzeitig SAP S/4HANA-migrierte Rollen erstellen können.
Wichtig zu erwähnen ist: Die gesamte Rollenmodellierung im Role Designer erfolgt während der Konzipierungsphase in einer virtuellen Projektumgebung, sodass erst nach finaler Abnahme der Berechtigungsinhalte durch die Fachbereiche die eigentliche Erstellung der Rolle in der Transaktion PFCG erfolgt. Dies hat den Vorteil, dass Sie Was-wäre-wenn-Szenarien und integrierte Analysewerkzeuge für Abdeckungsgrad sowie das XAMS-Regelwerk für kritische Berechtigungen nutzen können, bevor der eigentliche Rollenbau überhaupt beginnt.
Im Folgenden sehen Sie ein Beispiel anhand der Transaktion „BP“, Business Partner, die die alten Transaktionen zur Pflege von Stammdaten für Debitoren und Kreditoren in S/4HANA ablöst. Die Transaktionen zur Pflege der Debitorenstammsätze, „FD01“, „FD02 usw., wurden im alten System verwendet und sind für die Funktion „Debitorenbuchhaltung“ vorgesehen.
Abbildung 3: Rollenmodellierung im Xiting Role Designer anhand von ST03N Daten
Abhängig vom System-Release, liefert die Xiting im Role Designer den passenden Content aus der SAP Simplification List. In unserem Beispiel bietet das Tool ad-hoc die Transaktion „BP“ als Ersatz für die „FD01“, „FD02“ usw. an:
Abbildung 4: Abgleich der ST03N Daten mit der Simplification List im Xiting Role Designer
Wie in Abbildung 5 ersichtlich, ist ein Teil der verwendeten Daten durch die SAP S/4HANA-Migration betroffen und wird durch neue Anwendungen abgelöst:
Abbildung 5: Migrationsfunktion im Xiting Role Designer
SAP Fiori Integration in der XAMS: Welche SAP Fiori App darf es sein?
Das SAP Fiori Launchpad als neue UX (User Experience) rückt in SAP S/4HANA als Benutzeroberfläche in den Fokus. Es soll ein vereinfachtes und benutzerfreundlicheres Nutzungserlebnis mit vielen intuitiven Funktionen generieren. Welche Apps nun genau benötigt werden, ist eine der zentralen Fragestellungen bei der Migration und kann über die SAP Fiori Apps Reference Library herausgefunden werden. Dort haben Sie die Möglichkeit passende Applikationen bspw. anhand der Nutzungsdaten zu ermitteln. Dieses Mapping ist auch im Role Profiler der XAMS eingebettet, welcher ad-hoc anhand der ST03N Daten SAP Fiori Apps vorschlägt, welche alternativ oder additiv zu den verwendeten Transaktionen genutzt werden können.
Abbildung 6: SAP Fiori Apps Mapping
Die Design-Phase wird abschließend ganzheitlich vereinfacht, indem die Bedarfsermittlung aller relevanten Applikationen zentral durch die XAMS unterstützt wird. Somit liegen alle wichtigen Informationen vor und die Abstimmungen mit den Fachbereichen können beginnen.
Fiori Administration – Ein kleiner Hinweis am Rande
Anders als ABAP-Berechtigungen, werden SAP Fiori App-Berechtigungen nicht allein in der Transaktion PFCG administriert, sondern über Tools wie den SAP Fiori Launchpad Designer oder den SAP Fiori Content Manager, auch in der Blog Serie „SAP S/4HANA Fiori | SAP Fiori-Berechtigungsrollen und Rollenbau“ beschrieben. Gerade zu Beginn des Projekts müssen Fiori Kataloge, Gruppen oder Spaces massenhaft erstellt werden. Die XAMS bietet mit dem Role Designer und Role Replicator attraktive Features, die bei der Massenverarbeitung von SAP Fiori-Katalogen und Aministration der Rollen Abhilfe schaffen. Mit integrierten Status Checks über den Role Profiler haben Sie zudem die Möglichkeit, Inkonsistenzen hinsichtlich Ihres SAP Fiori Set-Ups aufzudecken. Wenn es genau an dieser Stelle noch Klärungs- oder Handlungsbedarf gibt, kommen Sie gerne auf uns zu, wir haben eine Lösung für Sie.
Die Testphase ist grundlegend für eine reibungslose Betriebsüberführung des migrierten Rollenkonzepts. Das Vorbereiten der Testszenarien ist jedoch zeitintensiv und die Durchführung der Tests erfolgt leider oftmals nicht immer vollständig. Zudem erhalten Sie auch mit einer SU24-basierten Rollenpflege offene Berechtigungsobjektvorschläge im Rollenprofil, deren Ausprägungswerte Sie spätestens durch diese Tests ermitteln müssen. Mit Standardwerkzeugen beginnt nun ein langwieriges und ressourcenintensives „Trial And Error“-Verfahren zwischen Test-Benutzer und Rollen-Administrator. Die Produktive Testsimulation der XAMS schafft da Abhilfe. Sie steigert die Testeffizienz, indem den Benutzern weitreichende Projektrollen zugewiesen werden und im Hintergrund, über die Zuweisung eines Referenzbenutzers, die neue Rolle getestet wird. Durch die Projektrolle sind die Benutzer ausreichend für unterbrechungsfreie Tests berechtigt. Die fehlenden Berechtigungen der neuen Rolle werden protokolliert und können anhand übersichtlicher, detaillierter Ergebnismasken ausgewertet werden. Parallel zur Testauswertung können Sie auch direkt die passenden Berechtigungsvorschlagswerte aus der XAMS heraus in die Transaktion SU24 pflegen und gewährleisten damit eine technisch hohe Rollenqualität. Mit der XAMS können Sie zudem während, aber auch im Alltagsgeschäft, detaillierte Analysen der Rollen bspw. hinsichtlich kritischer Berechtigungen und SoDs fahren, sodass Risiken frühzeitig erkannt und nach Bedarf eliminiert oder mitigiert werden können. Sie erhalten somit die notwendige Rundumhilfe für die Pflege von technisch wartbaren und sicheren Rollen. Das gesamte Vorgehen und Aufsetzen der Testszenarien wird in diesem Blogbeitrag meiner Kollegin Jennifer Kraft ausführlich geschildert:
Produktive Testsimulation – Das neue Testing
Hinweis: Für den Rollout neuer Prozesse bietet der SAP Best Practice Explorer nützliche Lösungspakete für SAP Best-Practices an, wie bspw. Testskripts und Businessrollen für gängige Geschäftsprozesse.
Phase 3: Protected Go-Live
Eine fehlerfreie und reibungslose Betriebsüberführung der neuen Rollen ist gerade bei der Greenfield Neuimplementierung kaum möglich. Viel zu hoch ist die Wahrscheinlichkeit, dass sich S/4HANA-bedingte Neuerungen hinsichtlich der Prozesse oder Anwendungen negativ auf den Go-Live auswirken. Um das Risiko einer Betriebsunterbrechung zu minimieren und gleichzeitig einen effizienten Support im Fehlerfall zu garantieren, setzen wir den Protected Go-Live mit der XAMS ein. Hierbei können sich Benutzer über einen Self-Service erweiterte Berechtigungen, bspw. die weitreichende Projektrolle aus der Testphase, sofort und für einen vorher definierten Zeitraum zurückholen. Diese Funktion ist mit der XAMS sowohl in der SAP GUI als auch im SAP Fiori Launchpad möglich. Der Anwender arbeitet unmittelbar nach dem Antrag fehlerfrei weiter, während die Berechtigungen im Hintergrund mittels Trace mitgeschrieben werden und so fehlende Berechtigungen identifiziert und korrigiert werden können. Die Analyse der Fehler erfolgt wie bei der produktiven Testsimulation. Auch für diesen Projektmeilenstein möchte ich auf einen Blog zum Thema „Protected Go-Live“ von Manuel Griebel verweisen, in welchem detailliert auf die Funktionsweise eingegangen wird:
Schluss mit unsicheren Go-Live-Phasen
Sie haben nun einen Einblick erhalten, wie eine Greenfield Neuimplementierung unter Einsatz der XAMS erfolgt. Auch wenn mit diesem Ansatz längere Projektlaufzeiten verbunden sind, ist die Greenfield-Berechtigungsmigration als langfristige Investition zu betrachten in der Sie Ressourcen einsparen können. Trotz des erhöhten strukturellen und organisatorischen Komplexitätsgrads ist eine Annäherung am SAP Standard sowie das Aufsetzen auf einer hohen Daten- und Rollenqualität möglich. Die XAMS unterstützt Sie dabei diesen Komplexitätsgrad zu reduzieren und die Rollen nicht nur nach dem Minimalprinzip sicher aufzubauen, sondern auch im Hinblick darauf SAP S/4HANA relevante Applikationen zu identifizieren und Ihre Rollen entsprechend zu migrieren.
Xiting bietet ein vielfältiges Angebot zum Thema SAP S/4HANA Migration an. Haben Sie Interesse mehr Informationen zu erhalten? Dann schauen Sie gern in unsere Services rein und erhalten Sie in einem unserer XAMS Best-Practice Workshops mit einem unserer erfahrenen Berater einen direkten Einblick in die XAMS.
Weitere nützliche Links zu dem Thema:
SAP Fiori Apps Library
Wie der Blogtitel vermuten lässt, gibt es einen zweiten Migrationsansatz, auf den ich eingehen werde: Brownfield. Worin sich dieser unterscheidet und welche Methodik sich dahinter verbirgt, erfahren Sie im zweiten Teil dieser Blogreihe.
Hier geht’s zu Teil 2: Brownfield
SAP Security Consultant | SAP Authorizations bei Xiting GmbH
Vanessa Albuera has been working as a SAP Security Consultant and SAP Trainer for Xiting in Germany since 2015. Specialized in topics related to ERP authorizations redesign, SAP S/4HANA migration and SAP Fiori authorizations, she leads different Xiting clients through their projects.
Letzte Artikel von Vanessa Albuera (Alle anzeigen)
Success Story: EOS – Redesign aller SAP-Berechtigungen - 12. April 2022
BEST PRACTICE SAP S/4HANA-BERECHTIGUNGSMIGRATION (Teil 2 – BROWNFIELD) - 20. Oktober 2021
Zwei Wege einer SAP S/4HANA Berechtigungsmigration (Teil 1 – Greenfield) - 12. August 2021
Nehmen Sie Kontakt mit uns auf!
+41 43 422 8803
+49 7656 9888 155
+1 855 594 84 64
+44 1454 838 785
Success Story: Uhlmann Pac-Systeme GmbH & Co. KG 7. Oktober 2022
In drei Schritten zur eigenen Parametertransaktion 17. August 2022
Die neusten Highlights der Xiting Fiori UI für SAP IDM  11. August 2022
Nehmen Sie Kontakt mit uns auf!
Haben Sie Fragen zu unseren Produkten?
+41 43 422 8803
+49 7656 9888 155
+1 855 594 84 64
+44 1454 838 785
Besuchen Sie unsere Live-Webinare und lernen Sie von unseren Experten mehr zu SAP-Berechtigungen, XAMS, SAP IDM und zu vielen weiteren Themen im Kontext von SAP Security.