SAP-Berechtigungen – Rolle in ein anderes SAP-System transportieren

Es ist wichtig, dass in allen Entwicklungs-, Test- und Produktivsystemen ein konsistenter Zustand herrscht. Um sicherzustellen, dass die im SAP-System entwickelten und getesteten Änderungen korrekt in das Produktivsystem übernommen werden, wird das Transportwesen eingesetzt. Dies gilt auch für Berechtigungsrollen, da es sonst zu Inkonsistenzen im SAP-System kommen kann. Obwohl es in SAP ERP bzw. SAP S/4HANA möglich ist, Rollen zu kopieren, empfiehlt es sich, Rollen zu transportieren. In diesem Artikel werde ich erklären, wie man einfach und schnell eine Rolle von einem SAP-System in ein anderes SAP-System transportieren kann.

Rolle transportieren

Insgesamt sind für den Transport einer Rolle in ein anderes SAP-System folgende Schritte notwendig:

1. Rollenpflege aufrufen (Transaktion PFCG)
2. Rolle auswählen
3. Button „Rolle transportieren“ klicken
4. Rolle in Transport aufnehmen
5. Transport freigeben (Transaktion SE01, SE09 oder SE10)
6. Transport im Zielsystem importieren (Transaktion STMS)

Rollenpflege aufrufen (Transaktion PFCG)

In der Transaktion PFCG ist es möglich, eine Rolle in ein anderes SAP-System zu transportieren. Du kannst die Rollenpflege aufrufen, indem Du den Transaktionscode PFCG im Kommandofeld eingibst und die Enter-Taste drückst.

Rolle auswählen

Als nächstes gibst Du die Rolle ein oder suchst sie über die F4-Hilfe im Eingabefeld.

Button „Rolle transportieren“ klicken

Anschließend klickst Du auf den Button „Rolle transportieren“ oder nutzt die Tastenkombination „Strg + Umschalt + F9“.

Daraufhin wird man zu einem Screen „Rollentransport“ weitergeleitet. Die Auswahl der Rolle wird angezeigt. Man hat zusätzlich noch drei Optionen zur Auswahl:

• Generierte Profile der Einzelrollen
• Personalisierungsdaten
• Direkte Benutzerzuordnungen

Mit der Option „Generierte Profile der Einzelrollen“ kannst Du festlegen, ob die ausgewählten und automatisch hinzugefügten Einzelrollen mit ihren generierten Berechtigungsprofilen transportiert werden sollen. Um den Transport der generierten Profile zu deaktivieren, fügst Du dazu im Quellsystem des Transports in der Tabelle PRGN_CUST den Eintrag PROFILE_TRANSPORT mit dem Wert „NO“ ein. In diesem Fall musst Du die Profile im Zielsystem mit der Transaktion SUPC (Massengenerierung) oder der Transaktion PFCG (Generierung von Profilen für einzelne Rollen) nachgenerieren.

Um den Transport von Personalisierungsdaten zu deaktivieren, kannst Du das Attribut PERSDAT_TRANSPORT in der Tabelle PRGN_CUST auf „NO“ setzen.

Die Option „Direkt Benutzerzuordnungen“ legt fest, dass alle direkten Benutzerzuordnungen mittransportiert werden. Indirekte Zuordnungen aus Sammelrollen oder dem HR-Organisationsmanagement werden nicht berücksichtigt. Beachte, dass der Import der Benutzerzuordnungen alle bisherigen direkten Zuordnungen im Zielmandanten ersetzt. Die Benutzerzuordnungen werden nicht in einen Zielmandanten importiert, wenn der Mandant Teil einer zentralen Benutzerverwaltung ist. Das Zielsystem ist global für den Import von Benutzerzuordnungen gesperrt, wenn das Attribut US_ASGM_TRANSPORT in der Tabelle PRGN_CUST auf „NO“ gesetzt ist.

Hier sollte man die Option „Generierte Profile der Einzelrollen“ auswählen. Anschließend klickt man auf den Ausführen-Button oder drückt die F8-Taste.

Rolle in Transport aufnehmen

Nun wählt man einen bestehenden Customizing-Auftrag aus oder erstellt über den Button „Auftrag anlegen“ bzw. der F8-Taste einen neuen Customizing-Auftrag. Daraufhin erhält man eine Übersicht über die Aufnahme der Rolle in den Transport.

Transport freigeben (Transaktion SE01, SE09 oder SE10)

Anschließend ist der Customizing-Auftrag im Transport Organizer (Transaktion SE01, SE09 oder SE10) freizugeben.

Transport im Zielsystem importieren (Transaktion STMS)

Im Transport Management System (Transaktion STMS bzw. STMS_IMPORT) wird abschließend der Customizing-Transport importiert. Danach befindet sich die Rolle im Zielsystem.

Rollen massenhaft transportieren

Du kannst im SAP-System ebenfalls massenhaft Rollen in ein anderes SAP-System transportieren. In der Transaktion PFCG steht die Menüfunktion „Hilfsmittel > Massentransport“ zur Verfügung. Alternativ kannst Du über die Transaktion SA38 das ABAP-Programm PFCG_MASS_TRANSPORT ausführen.

Damit Rollen massenhaft transportiert werden können, müssen sie im aktuellen Mandanten vorhanden sein und technisch korrekte Typdefinitionen haben (Einzelrolle oder Sammelrolle).

Neben der Angabe der Rollen stehen im Screen „Rollentransport“ folgende Optionen zur Verfügung:

• Einzelrollen in Sammelrollen
• Generierte Profile der Einzelrollen
• Personalisierungsdaten
• Direkte Benutzerzuordnungen

Wenn Du die Option „Einzelrollen in Sammelrollen“ auswählst, werden alle Einzelrollen, die in den ausgewählten Sammelrollen enthalten sind, automatisch der Anfrage hinzugefügt. Andernfalls werden nur die Sammelrollen selbst hinzugefügt. Du kannst diese Option systemweit deaktivieren, indem Du in der Tabelle PRGN_CUST das Attribut SGL_ROLES_TRANSPORT auf „NO“ setzt.

Die weiteren Optionen sind im Abschnitt „Button „Rolle transportieren“ klicken“ im Detail erläutert.

Wenn Du die Auswahl durch Klicken auf die Schaltfläche Ausführen oder durch Drücken der Taste F8 ausführst, gibst Du einen Customizing-Auftrag an. Alternativ kannst Du auch einen eigenen Customizing-Transport anlegen.

Wie beim Transport einer einzelnen Rolle über den Button „Rolle transportieren“ wird Dir angezeigt, welche Rollen im Transport enthalten sind. Anschließend wird der Transport im Transport Organizer (Transaktion SE01, SE09 oder SE10) freigegeben und über das Transport Management System (Transaktion STMS bzw. STMS_IMPORT) in das Zielsystem importiert.

Fehlerbehebung beim Transport von Rollen

Im Einstiegsbild der Transaktion PFCG können Rollen über einen Einzeltransport (Button „Rolle transportieren“) oder über einen Massentransport (Menüfunktion Hilfsmittel > Massentransport) in einen Customizing-Auftrag aufgenommen werden. Ursprünglich war diese Rollentransportfunktion mit Risiken und Schwachstellen behaftet, die durch mehrere Revisionen deutlich reduziert bzw. beseitigt wurden. Der SAP-Hinweis 571276 gibt einen Überblick über die relevanten Korrekturen in chronologischer Reihenfolge. Dieser SAP-Hinweis sollte unbedingt beachtet werden, wenn es beim Transport von Rollen zu Problemen kommen sollte.

Unter anderem werden im SAP-Hinweis 571276 folgende SAP-Hinweise aufgelistet:

• SAP-Hinweis 1380203 – PFCG: Namensmuster für generierte Profilnamen
• SAP-Hinweis 1614407 – Überarbeitung des Rollentransports
• SAP-Hinweis 1723881 – Anwendung der mandantenspezifischen Customizing-Einstellung auf die Rollenpflege
• SAP-Hinweis 2333270 – Automatische Aktualisierung von Texten generierter Berechtigungen nach Rollenimport
• SAP-Hinweis 2630792 – Automatische Aktualisierung generierter Berechtigungen nach Rollenimport
• SAP-Hinweis 2695888 – Releaseübergreifender Rollentransport