SAP S/4HANA® Launch Pack für Berechtigungen
Grundlagen SAP Berechtigungen inklusive Fiori - Online Training
Die erste Zeile definiert, dass der Zugriff auf alle Dateien verboten ist, sofern für sie nicht in den weiteren Zeilen andere Einstellungen vorgenommen worden sind. Der Asterisk (*) steht hier an erster Position und in diesem Fall für alle Dateien und Pfade. Steht der Asterisk an einer anderen Position, wird er als Teil des Dateinamens interpretiert, was z. B. in Microsoft Windows gar nicht erlaubt ist. In unserer Beispieltabelle wird durch das Setzen der Schalter FS_NOREAD = X und FS_NOWRITE = X für alle Pfade das Lesen und Schreiben untersagt. Die Tabelle wird damit zu einer White List. Diese ist aus Sicherheitsgründen einer Black List vorzuziehen. SPTH wird dagegen zur Black List, wenn Sie die erste Zeile mit PATH = * in unserem Beispiel entfernen oder keinen der Schalter FS_NOREAD, FS_NOWRITE oder FS_BRGRU setzen. Die zweite Zeile mit PATH = /tmp erlaubt als Ausnahme von dem in der ersten Zeile für alle Dateien und Pfade definierten Zugriffsverbot den Lese- und Schreibzugriff für alle Dateien, die mit /tmp beginnen, analog zu einem Berechtigungswert /tmp*. Diese Einstellung beschränkt sich nicht auf Unterverzeichnisse, sondern umfasst z. B. auch alle Dateien, deren Name mit /tmp-xy beginnt. Die dritte Zeile mit PATH = /tmp/myfiles definiert mit FS_BRGRU = FILE eine Berechtigungsgruppe und löst damit die anschließende Berechtigungsprüfung auf das Objekt S_PATH aus. Der Schalter SAVEFLAG = X definiert, dass diese Dateien in eine Sicherungsprozedur aufgenommen werden; dies ist allerdings für die Berechtigungsvergabe nicht relevant.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Die Freeware Scribble Papers ist ein "Zettelkasten", in dem sich Daten aller Art ablegen lassen. Er nimmt sowohl eingegebene Texte als auch Grafiken und ganze Dokumente auf. Die Daten werden in Ordnern und Seiten organisiert.
Da gewisse Arten von Berechtigungen, wie z. B. Analyseberechtigungen, für SAP BW oder strukturelle Berechtigungen in SAP ERP HCM nicht auf SAPBerechtigungsprofilen beruhen, werden diese Berechtigungen im Berechtigungspuffer auch nicht angezeigt oder aufgefrischt. Für die Analyse solcher Berechtigungsprobleme müssen Sie daher die entsprechenden Werkzeuge nutzen, z. B. die Transaktion HRAUTH für SAP ERP HCM oder die Transaktion RSECADMIN für SAP BW. Dasselbe gilt für den Puffer des Organisationsmanagements für den Fall, dass Sie die indirekte Rollenzuordnung verwenden. Führen Sie hier den Report RHWFINDEXRESET aus, um den Puffer des Organisationsmanagements zurückzusetzen. Eine Voraussetzung zur Aktualität des Benutzerpuffers ist der korrekt ausgeführte Benutzerabgleich (grüne anstatt gelbe Statusampel auf der Registerkarte "Benutzer").
Rollentyp
Über administrative Tätigkeiten werden das Systemverhalten gesteuert und diverse sicherheitsrelevante Einstellungen vorgenommen. Um das Risiko eines Systemausfalls oder der Entstehung einer Sicherheitslücke zu minimieren, sollten administrative Rechte nur an Mitarbeiter der Basisadministration vergeben werden. Die nachfolgende Liste kann evtl. noch durch Vorschläge der unternehmenseigenen Administration ergänzt werden. Sie enthält jeweils nur die wesentlichen Berechtigungsobjekte je Themengebiet.
Darüber hinaus müssen Sie beachten, dass Sie diesen Report nicht auf Systemen ausführen dürfen, die als Benutzerquelle für ein Java-System eingesetzt werden. Dies liegt darin begründet, dass bei einer Anmeldung am Java-System nur dann das Datum der letzten Anmeldung im ABAP-System aktualisiert wird, wenn eine passwortbasierte Anmeldung erfolgt ist. Andere Anmeldungsarten am Java-System aktualisieren das Datum der letzten Anmeldung im ABAP-System nicht.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Wird die PFCG-Rolle nun ins Produktivsystem transportiert, verfügen die der Rolle zugewiesenen Benutzer noch nicht über das aktuelle mittransportierte Profil.
Bei der Tabellenprotokollierung muss sichergestellt sein, dass der SAP®-Hinweis 112388 (protokollierungspflichtige Tabellen) vollständig umgesetzt ist und zusätzlich alle Tabellen, welche finanzrelevante Daten beinhalten, von der Protokollierung umfasst werden.