Доброе утро!

Каким образом, можно дать пользователю SAP ALL, убрать права на транзакции HR?

Попробуйте через структурные полномочия

PAшные данные и кластеры всё равно будут доступны.

Если авдит какой приперся, то копируем продуктив в отдельный мандант и делаем чистку(PA, PD, кластеры) или scrambling (имена всякой шнягой забиваем несложным абапом)

это в хумор надо

Хьюмор, ни хьмор... а что делать)))

ну есть же отработанные технологии - от трассировки до выкусывания из клона - на любой вкус

ага, народ зашевелился похоже в связи с законом о защите персональных данных

выход тут один - не давать sap all

SAP_ALL в продуктиве вообще нонсенс - аудиторам это навряд-ли понравиться

Это не для аудиторов, пока покрайней мере.
у нас у всей "поддержки" в продуктиве SAP ALL.

1. удалить из роли P*-объекты (PLOGI, P_ORGIN, P_PERNR, P_PCX и т.д.)
2. убрать группу PA (и группы авторизации для таблиц HRP* и PB*) из групп для S_TABU_DIS (т.е. * заменить на соответствующие интервалы)
3. (не обязательно, т.к. без пункта 1 HR-транзакции не работают) убрать P*-транзакции (хотя если есть объект S_DEVELOP с ACTVT=02 или 03 или доступ к SE80, SE38, то потребуется присвоение групп авторизации соответствующим программам и добавление объекта S_PROGRAM в роли для HR).

Замечание. S_DEVELOP-ACTVT=02 дает возможность обойти проверки объектов авторизации.