Effizienter SAP-Rollout durch zentrale, tool-gestützte Verwaltung
Anwendungssuche in der Transaktion SAIS_SEARCH_APPL verwenden
Grundsätzlich ist innerhalb des kompletten Entwicklungs- bzw. Customizing- und Transport-Prozesses ein technisches 4-Augen Prinzip zu implementieren. Ohne zusätzliche Tools ist dies im SAP-Standard nur über entsprechend vergebene Berechtigungen innerhalb der Transportlandschaft zu erreichen. Abhängig von den eingesetzten Strategien sollen also evtl. nur bestimmte Transportschritte innerhalb des Entwicklungssystems an die Benutzer vergeben sein. Beim Einsatz des SAP-Solution-Managers („ChaRM“) für die Transportsteuerung sollen hier beispielsweise normalerweise nur die Berechtigungen zur Freigabe von Transport-Aufgaben vergeben werden. Die vollständige Abwicklung eines Transportes im Entwicklungssystems besteht aus vier Schritten: Anlegen und Freigeben eines Transportauftrags (der eigentliche Transportcontainer), Anlegen und Freigeben einer Transportaufgabe (die Berechtigung für einzelne Benutzer, Objekte an den jeweiligen Transportauftrag zu hängen).
Unabhängig davon, ob Sie den Vereinfachungsgrad COARS = 1 oder 2 wählen, sollten Sie unter keinen Umständen im Feld REPID den Wert * oder SAPDBPNP (Programmname der logischen Datenbank PNP) eintragen. Mit diesen Werten erlauben Sie den Zugriff auf die logischen Datenbanken SAPDBPNP und SAPDBPAP und damit den Zugriff auf alle enthaltenen Stammdaten.
Manueller Benutzerabgleich über die Transaktion PFUD
Bestimmte Berechtigungen, die erst beim Ausführen eines Job-Steps von Bedeutung sind, werden zum Zeitpunkt der Einplanung für den angegebenen Step-Benutzer geprüft. So wird überprüft, ob der gewählte Benutzer dazu berechtigt ist, das angegebene ABAP-Programm oder das externe Kommando auszuführen. Bei Programmen, die einer Berechtigungsgruppe zugeordnet sind, wird eine Prüfung auf das Objekt S_PROGRAM ausgeführt. Bei externen Kommandos findet eine Prüfung auf das Objekt S_LOG_COM statt.
Versucht nun ein Benutzer, einen Bericht auszuführen (z. B. mithilfe der Transaktion KE30) werden die Berechtigungen des Benutzers für dieses Berechtigungsobjekt geprüft. Daher müssen Sie Ihre Berechtigungsrollen entsprechend anpassen. Fehlt dem Benutzer die Berechtigung zum Zugriff auf das Objekt, wird seine Anforderung abgelehnt. Hat er eine entsprechende Berechtigung, wird die Anzeige auf den erlaubten Bereich eingeschränkt. Für alle Merkmale oder Wertfelder, die nicht als Felder des Berechtigungsobjekts definiert wurden, ist der Zugriff weiterhin erlaubt.
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Ferner ist zu erwähnen, dass die eingesetzten Berechtigungskonzepte durch ABAP-Code umgangen werden können, was das Gewicht von Sicherheitslücken im ABAP-Code unterstreicht.
Sollte kein passendes Projekt zur Verfügung stehen, können Sie sich die Liste der SAP-Customizing-Aktivitäten anzeigen lassen.