Alten Stand lesen und mit den neuen Daten abgleichen
Die Anatomie der SAP Berechtigung oder Dokumentationen zu SAP Berechtigungsobjekten und Berechtigungsfeldwerten
Arbeiten Sie auch in einer komplexen Systemlandschaft, in der die Rollen dezentral gepflegt werden? Dann kann es durch den Transport von Profilen aus unterschiedlichen Systemen in ein Zielsystem zu Inkonsistenzen kommen. Wir zeigen Ihnen, wie Sie das verhindern. Bei dezentraler Pflege der Berechtigungsrollen, d. h. einer Pflege der Rollen in unterschiedlichen Systemen bzw. Mandanten, besteht das Risiko, dass sich die Nummernkreise für die Generierung von Berechtigungsprofilen überlappen. Sie können dann zu unterschiedlichen Rollen in unterschiedlichen Mandanten Profile mit gleichem Namen generieren. Sobald Sie diese gleichnamigen Berechtigungsprofile in ein gemeinsames Zielsystem transportieren, wird das bisherige Profil durch das neu importierte Profil überschrieben, und es entstehen Inkonsistenzen. In der Konsequenz kann es passieren, dass Sie beispielsweise einer ERP-Berechtigungsrolle ein SCMBerechtigungsprofil zuweisen. Dies kann dazu führen, dass ein Benutzer, dem die ERP-Rolle zugewiesen ist, nicht die benötigten oder sogar zu viele Berechtigungen erhält. Außerdem haben Sie ein Problem, falls Sie über das Berechtigungsprofil das Quellsystem und den Mandanten ermitteln wollen, in dem dieses Profil generiert wurde. Dies ist nicht möglich, wenn das erste und dritte Zeichen der SAP-System-ID (SID), und der Nummernkreis für die Generierung des Berechtigungsprofils übereinstimmen.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Ein Zettelkasten, in dem schnell Daten aller Art abgelegt und wiedergefunden werden können. Das verspricht Scribble Papers. Anfangs sieht das Programm sehr spartanisch aus. Aber wenn erst einmal eine kleine Struktur vorhanden ist, erkennt man die große Flexibilität dieses kleinen Helfers.
Haben Sie sich schon einmal gefragt, wer in Ihrem System über kritische Berechtigungen verfügt? Fehlten Ihnen bisher das Tool und die Herangehensweise, um diese Benutzer zu identifizieren? Die Benutzeranlage in einem SAP-System ist auch immer mit einer Berechtigungsvergabe verbunden. Über den Lebenszyklus eines Benutzers im SAPSystem werden immer mehr Berechtigungen angesammelt, wenn diese nicht wieder entzogen werden, sobald sie nicht mehr gebraucht werden. Diese Ansammlung hat zwangsläufig zur Folge, dass Benutzer mehr Aktionen durchführen können, als Ihnen als Berechtigungsadministrator lieb ist. Um dies zu vermeiden, wollen wir Ihnen ein geeignetes Werkzeug an die Hand geben.
Prüfung auf Programmebene mit AUTHORITY-CHECK
Mit dem SAP-Hinweis 1707841 wird eine Erweiterung für den Systemtrace in der Transaktion STAUTHTRACE ausgeliefert, die es ermöglicht, den Berechtigungstrace auf allen oder auf bestimmten Anwendungsservern zu verwenden. Zur Auswahl der Anwendungsserver, auf dem der Trace gestartet werden soll, klicken Sie auf den Button Systemweiter Trace. Markieren Sie nun die Anwendungsserver in der Liste, auf denen der Systemtrace ausgeführt werden soll, und starten Sie den Trace mit einem Klick auf Trace einschalten. In der Auswertung des Berechtigungstrace ist nun eine zusätzliche Spalte Server Name zu sehen, in der Ihnen der Name des Anwendungsservers angezeigt wird, auf dem die jeweiligen Berechtigungsprüfungen protokolliert wurden.
Im Zuge eines umfassenden Schutzes Ihres Systems von innen sowie von außen ist es unabdingbar, vor allem die SAP Standardbenutzer genauer zu betrachten. Sie haben weitreichende Berechtigungen, die bei einem Missbrauch hohe Schäden in Ihrem System anrichten. Dabei ist zu beachten, dass sie sehr wichtig für die Betriebsausführung Ihres SAP Systems sind und nicht gelöscht werden dürfen. Da die dazugehörigen Standardpasswörter jedoch schnell recherchierbar sind, müssen diese umgehend nach Auslieferung des SAP ERP geändert werden. Eine detaillierte Prüfung dieser User können Sie durch den Report RSUSRS003 ausführen. Außerdem ist es empfehlenswert, bestimmte Standardnutzer bis zur eigentlichen Nutzung inaktiv zu setzen.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Profilnamen haben eine maximale Länge von 12 Zeichen; daher können im Feld PROFS maximal 312 Profile pro Benutzer eingetragen werden.
Im Feld CEERKRS definieren Sie den Ergebnisbereich, für den Berechtigungsobjekte angelegt werden, und im Feld ACTVT definieren Sie die Aktivität, wobei die Aktivität 02 für Anlegen und Ändern steht.