DIE „TOP SEVEN“
CRM-Rollenkonzept im Zusammenhang mit externen Services umsetzen
Kommunikationsbenutzer sind ebenfalls für die Verwendung durch Personen gedacht, die sich von außerhalb per RFC-Aufruf am SAP-System anmelden. Daher ist keine Dialoganmeldung möglich. Wird das Passwort vom Administrator gesetzt, erhält es den Status Initial. Jedoch wird der Benutzer bei einem RFC-Aufruf nicht dazu aufgefordert, das Passwort zu ändern. Es behält daher häufig diesen Status, auch wenn der Benutzer durch den RFC-Aufruf eines Funktionsbausteins die Möglichkeit hat, das Passwort zu ändern (dann: Status Produktiv). Die Passwortregeln greifen für diesen Benutzertyp. Allerdings fällt dies in der Praxis häufig nicht auf, da Passwortregeln für Initialpasswörter weniger genutzt werden.
Verschiedene Tätigkeiten, wie etwa die inhaltliche Änderung oder die Zuordnung von Rollen werden über Änderungsbelege nachvollziehbar gemacht. Diese Berechtigung sollte nur an einen Notfallbenutzer vergeben werden.
Anforderungen an ein Berechtigungskonzept umsetzen
Grundsätzlich können alle Berechtigungsfelder in die Organisationsebene hochgestuft werden; es gibt allerdings technische Ausnahmen und Felder, bei denen dies nicht sinnvoll ist. Technisch sind die Felder ausgenommen, die im Kontext zur Prüfung der Startbarkeit einer Applikation stehen, also die Felder der Berechtigungsobjekte S_TCODE, S_START, S_USER_STA, S_SERVICE, S_RFC, S_PROGRAM und S_USER_VAL. Außerdem können Sie das Feld ACTVT nicht zur Organisationsebene erheben. Sinnvoll sind nur die Felder, die innerhalb einer Rolle mit einem Wertebereich belegt werden können. Dies muss natürlich übergreifend für das Berechtigungskonzept betrachtet werden. So sind Felder, die mehr als eine Bedeutung haben, wie z. B. die Berechtigungsgruppe (BEGRU) in der Materialwirtschaft nicht geeignet. Mit dem Report PFCG_ORGFIELD_CREATE können Sie ein Berechtigungsfeld als Organisationsebene definieren. Der Report trägt das Feld in die Tabelle USORG ein, ändert die Berechtigungsvorschlagswerte zu diesem Feld und geht alle Rollen durch, die eine Ausprägung zu dem Feld enthalten.
Mit dem Security Audit Log kontrollieren Sie sicherheitsrelevante Ereignisse. Erfahren Sie, wie Sie es konfigurieren, um die für Sie relevanten Vorgänge zu überwachen. Sie möchten das Security Audit Log für die Überwachung bestimmter sicherheitsrelevanter Vorgänge oder besonders weitreichend berechtigter Benutzer im SAP-System nutzen. So können Sie z. B. fehlgeschlagene RFC-Aufrufe systemweit aufzeichnen, das Löschen von Benutzern oder alle Aktivitäten des Standardbenutzers DDIC protokollieren. Für diese Protokollierungen benötigen Sie verschiedene Aufzeichnungsfilter und gegebenenfalls auch die Möglichkeit, generisch Mandanten oder Benutzer zu selektieren. Daher zeigen wir Ihnen im Folgenden, welche Einstellungen Sie bei der Konfiguration des Security Audit Logs vornehmen können.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Runtime-Versionen von Rollen sind in SAP HANA jedoch nicht transportierbar.
Nun wird Ihre Validierung mit zusätzlichen Prüfungen bei der Belegbuchung über eine Schnittstelle durchlaufen.