Ein kompliziertes Rollenkonstrukt
Unzufriedenheit und unklarer Bedarf im Prozess
Abhängig von der aufgerufenen Transaktion, kann die Anwendung über diese zusätzliche Berechtigungsprüfung granularer geprüft werden. Aus diesem Grund erfordern Transaktionen, die mit zusätzlichen Parametern aufgerufen werden, unter Umständen mehr als ein Berechtigungsobjekt und müssen unbedingt programmatisch geschützt werden. Das folgende Listing zeigt ein Beispiel für eine Berechtigungsprüfung, die sicherstellt, dass der angemeldete Anwender die erforderliche Berechtigung hat, um die Transaktion SU24 zu starten.
Sie benutzen das Profil SAP_ALL für Schnittstellenbenutzer, und nach dem Upgrade auf ein neues Support Package entstehen Berechtigungsfehler? Wir können die Verwendung des Profils SAP_ALL zwar nicht empfehlen, beschreiben hier aber, wie Sie dieses Problem kurzfristig beheben können. In neueren SAP-NetWeaver-Releases enthält das Profil SAP_ALL keine Berechtigung mehr für das Berechtigungsobjekt S_RFCACL. Dies kann zu Berechtigungsfehlern, z. B. bei Schnittstellenbenutzern führen, wenn diesen das Profil SAP_ALL zugeordnet wurde. Wir weisen an dieser Stelle darauf hin, dass wir die Verwendung des Profils SAP_ALL nur für absolute Notfallbenutzer empfehlen können. Anstatt diesen Tipp anzuwenden, sollten Sie daher vorzugsweise die Berechtigungen Ihrer Schnittstellenbenutzer bereinigen. Wie Sie dabei vorgehen, erfahren Sie in Tipp 27, »S_RFC-Berechtigungen mithilfe von Nutzungsdaten definieren«. Eine solche Bereinigung der Berechtigungen Ihrer Schnittstellenbenutzer kann allerdings nicht von heute auf morgen erfolgen. Daher erklären wir Ihnen hier, wie Sie das Problem kurzfristig beheben.
SAP S/4HANA® Launch Pack für Berechtigungen
Analog zur Pflege der Berechtigungsvorschlagswerte für SAP-Transaktionen mittels der Transaktionen SU22 und SU24 ist die Pflege von Vorschlagswerten für Webanwendungen ratsam. Damit einem Nutzer eine passende Berechtigung für einen betriebswirtschaftlichen Funktionsumfang in der Webanwendung zugewiesen werden kann, müssen die Softwareentwickler in der Transaktion SU22 alle für diese Anwendung benötigten Berechtigungsobjekte an die entsprechende Web-Dynpro-Anwendung anbinden, also nicht nur S_START. Quelle für die benötigten Berechtigungsobjekte ist in der Regel ein Developer- oder Berechtigungstrace.
Zugriffsmöglichkeiten und Berechtigungen werden im SAP Berechtigungskonzept festgelegt und kontrolliert. Wie sicher Geschäftsdaten in SAP sind, hängt maßgeblich an der Vergabe von Berechtigungen und Zugriffsmöglichkeiten der Benutzer eines Unternehmens.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Die Berechtigungsprüfung soll aber nur auf drei Ebenen erfolgen.
Die vollständige Liste aller Sicherheitsprüfungen im SOS finden Sie im SAP Service Marketplace auf der Seite https://service.sap.com/sos über Media Library (Security Optimization Service > ABAP Checks).