Vorteile von Berechtigungskonzepten
Sich einen Überblick über die im System gepflegten Organisationen und ihre Abhängigkeiten verschaffen
Da Entwicklerberechtigungen einer Vollberechtigung entsprechen, sollten diese nur restriktiv vergeben werden. Dies gilt vor allen Dingen für die Berechtigung zum „Debugging mit Replace“ (siehe „Gesetzes kritische Berechtigungen“). Das Risiko durch falsch vergebene Entwicklerberechtigungen ist auch durch das Wegfallen des Zusatz-Schutzes über Entwickler- und Objektschlüssel in S/4 HANA Systemen gestiegen (siehe u.a. SAP-Hinweis 2309060). Entwicklerberechtigungen für originale SAP-Objekte sollten hier also nur noch auf Antrag vergeben werden, um unautorisierte Modifikationen zu vermeiden. Falls Entwicklerschlüssel in dem vorhandenen SAP-Release also noch relevant sind, sollten zunächst die vorhandenen Entwicklerschlüssel in der Tabelle DEVACCESS überprüft und mit den für die Entwicklung vorgesehenen Benutzern abgeglichen werden.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Dafür eignet sich Scribble Papers ganz hervorragend.
SAP-Kunden pflegen Vorschlagswerte nicht in dieser Transaktion. Es gibt jedoch Fälle, in denen Daten in der Transaktion SU22 auch in einer Kundenumgebung gepflegt werden. Werden vom Kunden oder Partner TADIR-Services bzw. externe Services entwickelt, sind diese Services nicht standardmäßig in der Transaktion SU22 oder in der Transaktion SU24 verfügbar. Für diese Services müssen erst die Headerdaten in die Tabelle USOBHASH geschrieben werden, die als Grundlage zur Pflege der Services dienen. Diese Einträge in der Tabelle USOBHASH werden beim Ausführen von TADIR-Services automatisch erzeugt. Lesen Sie Tipp 41, »Den Vorschlagswerten externe Services aus SAP CRM hinzufügen«, für den Umgang mit externen Services. Sobald die Daten in dieser Tabelle verfügbar sind, haben Sie die Möglichkeit, die Vorschlagswerte zu pflegen.
ACCESS CONTROL | BERECHTIGUNGSMANAGEMENT FÜR SAP®
Wenn Sie möchten, dass Ihre Eigenentwicklungen, genau wie der Standard, Ihren Sicherheitsanforderungen entsprechen, müssen Sie den kundeneigenen Tabellen Tabellenberechtigungsgruppen zuordnen. Kundeneigene Tabellen, oder auch SAP-Standardtabellen, die Sie besonders schützen möchten, gehören in separate, gegebenenfalls kundeneigene Tabellenberechtigungsgruppen. Sollen für die Systemadministration oder bestimmte Anwendungen umfangreiche Berechtigungen erteilt werden, erfolgt dies mit dem Berechtigungsobjekt S_TABU_DIS für die Tabellenberechtigungsgruppe. Da vielen Standardtabellen keine Tabellenberechtigungsgruppe zugeordnet ist und diese damit automatisch in der Tabellenberechtigungsgruppe &NC& landen, sollten Sie den Zugriff auf diese Tabellenberechtigungsgruppe einschränken. Bestimmte Tabellen wie T000 (Mandanten) befinden sich z. B. in einer großen Tabellenberechtigungsgruppe (SS: RS: Steuerung SAP); daher kann man den Zugriff über eine eigene Tabellenberechtigungsgruppe besser einschränken. Auch kundeneigene Tabellen sollten Sie immer einer Tabellenberechtigungsgruppe zuordnen, da ihnen ansonsten ebenfalls die Tabellenberechtigungsgruppe &NC& zugeordnet wird. Im Folgenden erklären wir Ihnen daher, wie Sie Tabellenberechtigungsgruppen anlegen und Tabellen zuordnen können.
Sobald Sie das Rollenmenü bearbeitet haben, können Sie die eigentlichen Berechtigungen in der PFCG-Rolle anpassen. Wechseln Sie hierzu auf die Registerkarte Berechtigungen. Je nach der Menge der externen Services aus dem Rollenmenü erscheinen nun die Berechtigungsobjekte. Die Berechtigungsobjekte werden je nach ihren Vorschlagswerten, die für jeden externen Service in den Tabellen USOBT_C sowie USOBX_C gepflegt sein müssen, in die PFCG-Rolle geladen. Diese Vorschlagswerte können Sie in der Transaktion SU24 bearbeiten. Achten Sie darauf, dass auch für externe Services im Kundennamensraum die Namen der externen Services sowie deren Vorschlagswerte in den Tabellen gepflegt sind (siehe Tipp 41, »Den Vorschlagswerten externe Services aus SAP CRM hinzufügen«). Die Sichtbarkeit und der Zugriff auf externe Services wird über das Berechtigungsobjekt UIU_COMP gewährleistet. Dieses Berechtigungsobjekt besteht aus drei Berechtigungsfeldern: COMP_NAME (Name einer Komponente), COMP_WIN (Komponentenfenstername), COMP_PLUG (Inbound-Plug).
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Daher ist keine Dialoganmeldung möglich.
Namenskonventionen für PFCG-Rollen können sehr vielfältig ausfallen.