ABAP-Programme debuggen mit Replace
Den Berechtigungstrace für die Ermittlung von Vorschlagswerten für kundeneigene Entwicklungen verwenden
HR Berechtigungen sind in vielen Unternehmen ein sehr kritisches Thema. Einerseits sollen die Sachbearbeiter im Personal ihre Aufgaben erledigen können – andererseits muss auch der Schutz der persönlichen Daten der Mitarbeiter gewährleistet werden. Jeder Fehler im Berechtigungswesen fällt in den Aufgabenbereich eines Datenschutzbeauftragten des Unternehmens.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Dafür eignet sich Scribble Papers ganz hervorragend.
SAP-Kunden pflegen Vorschlagswerte nicht in dieser Transaktion. Es gibt jedoch Fälle, in denen Daten in der Transaktion SU22 auch in einer Kundenumgebung gepflegt werden. Werden vom Kunden oder Partner TADIR-Services bzw. externe Services entwickelt, sind diese Services nicht standardmäßig in der Transaktion SU22 oder in der Transaktion SU24 verfügbar. Für diese Services müssen erst die Headerdaten in die Tabelle USOBHASH geschrieben werden, die als Grundlage zur Pflege der Services dienen. Diese Einträge in der Tabelle USOBHASH werden beim Ausführen von TADIR-Services automatisch erzeugt. Lesen Sie Tipp 41, »Den Vorschlagswerten externe Services aus SAP CRM hinzufügen«, für den Umgang mit externen Services. Sobald die Daten in dieser Tabelle verfügbar sind, haben Sie die Möglichkeit, die Vorschlagswerte zu pflegen.
Die Auswirkung der Benutzertypen auf die Passwortregeln beachten
Die wichtigsten Security Services im Hinblick auf Berechtigungen sind der EarlyWatch Alert (EWA) und der SAP Security Optimization Service (SOS). Sie vergleichen die Einstellungen in Ihren SAP-Systemen mit den Empfehlungen von SAP. Beide Services werden als teilautomatisierte Remote Services geliefert; den SOS können Sie auch als vollautomatisierten Self-Service nutzen. Im EWA und SOS werden Berechtigungsprüfungen durchgeführt, deren Ergebnis immer wie folgt aufgebaut ist: Die Überschrift benennt den betreffenden Check. Ein kurzer Text beschreibt die Bedeutung der geprüften Berechtigung und das Risiko, das bei einer unnötigen Vergabe entsteht. Eine Liste gibt die Anzahl der Benutzer mit der geprüften Berechtigung in den verschiedenen Mandanten des analysierten SAP-Systems an. Im SOS können Sie sich die Benutzer zusätzlich aufführen lassen. Im SOS folgt für jeden Check eine Empfehlung, wie Sie das identifizierte Risiko minimieren können. Eine abschließende formale Beschreibung stellt die geprüften Berechtigungen dar. Es werden allerdings nicht nur die explizit genannten Transaktionen ausgewertet, sondern auch äquivalente Parameter- oder Variantentransaktionen.
Bei einer SAP-Security-Prüfung steht insbesondere die Berechtigungsvergabe im Mittelpunkt. Sie ermöglicht Benutzern erst die Arbeit am SAP-System, kann sich jedoch u. U. ungewollt zu Funktionstrennungskonflikten oder gar gesetzeskritischen Befugnissen aufsummieren. Daher sind regelmäßig Tools zur technischen Analyse einzusetzen, die den Status quo der Berechtigungsvergabe und somit die Grundlage für eine Optimierung liefern.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Zunächst müssen die Softwareentwickler der Webanwendung geeignete Berechtigungsprüfungen implementieren und für die Nutzung bei der Rollenpflege in der Transaktion PFCG verfügbar machen.
Ist das Konzept mittlerweile nicht mehr sinnvoll umsetzbar oder bereits falsch aufgebaut, ist eine Neuerstellung notwendig.