SAP-Wiki

Identity Management umfasst das Anlegen, Ändern und Deaktivieren von Benutzerkonten sowie die Vergabe passender Zugriffsrechte über alle angebundenen Systeme hinweg. Im SAP-Kontext bedeutet das häufig automatisierte Provisionierungs-Workflows, ausgelöst durch HR-Ereignisse: Eine Neueinstellung erzeugt automatisch die passenden Konten in SAP- und Nicht-SAP-Systemen, jede Änderung wird protokolliert, damit sich im Nachhinein lückenlos nachvollziehen lässt, wer wann welchen Zugriff erhalten hat, ein Nachweis, der bei IT-Prüfungen regelmäßig gefragt ist.

SAP bot dafür lange SAP Identity Management (SAP IDM) als eigenständiges On-Premise-Produkt an, technisch eng an SAP NetWeaver angebunden und oft mit dem Enterprise Portal sowie den klassischen PFCG-Berechtigungsrollen verzahnt. Für Cloud-Landschaften setzt SAP inzwischen auf SAP Cloud Identity Services, aufgeteilt in Identity Authentication für Anmeldung und Single Sign-on sowie Identity Provisioning für die Konto-Lebenszyklen, beide betrieben auf der SAP BTP.

Eine Migration von klassischem SAP IDM zu SAP Cloud Identity Services beginnt mit der Erfassung aller angebundenen Zielsysteme und Provisionierungsregeln, weil gewachsene IDM-Landschaften über Jahre Regeln ansammeln, die niemand mehr hinterfragt. Ein typischer Fehler: Alte, oft zu großzügige Rollenkonzepte werden unverändert übernommen, statt sie im Zuge der Migration zu bereinigen. Der Wechsel ist deshalb ein guter Anlass für eine parallele Prüfung der SAP-Berechtigungen.