Rollenverwaltung
Bereits vorhandene Berechtigungen
Der Pfad mit der zugeordneten Berechtigungsgruppe DEVL enthält die temporären lokalen Dateien des ABAP-Frontend-Editors der ABAP-Entwicklungsumgebung (Transaktionen SE38, SE80, SE24 usw.). Die beiden Pfade mit der Berechtigungsgruppe ADMN zeigen, wie logisch zusammengehörige Pfade zu einer Berechtigungsprüfung für S_PATH gruppiert werden können. Die beiden Einträge mit der Berechtigungsgruppe FILE zeigen, wie in Systemen mit Anwendungsservern unterschiedlicher Betriebssysteme Pfade für Windows ergänzt werden können. Die Einträge core.sem und coreinfo werden benötigt, um Laufzeitfehler in die Snapshot-Tabelle SNAP zu schreiben. Die Einträge dev_ und gw_ erlauben das Anzeigen von Dateien aus Entwicklertrace und Gateway Log in der Transaktion ST11. Ist Ihnen der Vorschlag im ersten Eintrag der Tabelle zu restriktiv, können Sie die Alternative in der folgenden Tabelle wählen. Dieser Eintrag erzwingt lediglich eine Berechtigungsprüfung auf S_PATH und die Berechtigungsgruppe ALLE; die entsprechende Berechtigung sollten Sie allerdings nur sehr restriktiv vergeben.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Schluss mit der unübersichtlichen Zettelwirtschaft macht die Freeware Scribble Papers. Allerdings eignet sich das Tool auch dazu, neben Notizen Textdokumente und Textschnipseln aller Art abzulegen, zu strukturieren und schnell aufzufinden.
Die Prüfung auf die Vergabe des Profils SAP_ALL erfolgt im SOS anders als im EWA: Wird ein Benutzer gefunden, dem SAP_ALL zugewiesen wurde und den Sie nicht in der entsprechenden Whitelist eingetragen haben, wird er trotzdem in den nachfolgenden Berechtigungsprüfungen ausgeblendet. Die Ausgabe der identifizierten Benutzer erfolgt entweder durch eine vollständige Liste oder durch Beispiele konkreter Benutzer. In beiden Fällen können Sie die vollständige Liste in der Transaktion ST14 des SAP Solution Managers herunterladen. Die Zuordnung der Benutzerlisten zu den Berechtigungsprüfungen können Sie über die Check-ID herstellen. Allerdings sollten Sie beachten, dass in diesen Listen die Auswertungen der Whitelists noch nicht enthalten sind.
Security Automation bei HR Berechtigungen
Es gibt mehrere Möglichkeiten, um sich die Implementierungen von Berechtigungsprüfungen anzuschauen: Entweder Sie springen direkt aus dem Systemtrace für Berechtigungen in die entsprechenden Stellen im Programmcode ab, oder Sie nehmen den Weg über die Definition der Berechtigungsobjekte. Um sich die Berechtigungsprüfungen aus dem Systemtrace für Berechtigungen anzuschauen, starten Sie den Trace über die Transaktion STAUTHTRACE und führen die Anwendungen aus, deren Prüfungen Sie sich ansehen möchten. Öffnen Sie nun die Auswertung des Trace. In der Spalte Programmname sehen Sie das Programm, das die Berechtigungsprüfung beinhaltet. Über einen Doppelklick gelangen Sie direkt zur Codestelle, an der die Berechtigungsprüfung implementiert ist.
Nehmen wir an, eine Benutzerin – wir nennen sie Claudia – soll die Spoolaufträge eines anderen Benutzers – in unserem Beispiel Dieter – in der Transaktion SP01 bearbeiten können. Was müssen Sie als Administrator dafür tun? Jeder Spoolauftrag besitzt ein Feld Berechtigung; standardmäßig ist dieses Feld leer. Wenn sich Claudia einen Spoolauftrag von Dieter ansehen möchte, überprüft das System, ob Claudia über eine bestimmte Berechtigung für Spoolaufträge mit dem Wert DIETER verfügt. Für ihre eigenen Spoolaufträge, die nicht mit einem speziellen Berechtigungswert geschützt sind, benötigt Claudia keine zusätzlichen Berechtigungen.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Dafür gibt es jedoch keinen Automatismus, wie er bei der initialen Erstellung des Rollenmenüs vorhanden ist.
Für die hier beschriebenen Aktivitäten sind administrative Berechtigungen für die Änderungsbelege (S_SCD0 und S_ARCHIVE) und gegebenenfalls für die Tabellenprotokolle (S_TABU_DIS oder S_TABU_NAM und S_ARCHIVE) notwendig.