Grenzen von Berechtigungstools
Servicebenutzer
Sind die Änderungen an Ihren SU24-Daten mit Schritt 2a nicht erkannt worden oder haben Sie Transporte aus anderen Systemlandschaften in Ihr System importiert, haben Sie die Möglichkeit, die Zeitstempeltabellen zurückzusetzen und somit noch einmal von vorn anzufangen. Lassen Sie dafür den Report SU24_AUTO_REPAIR in einem System, das noch auf dem Stand des Altrelease ist, laufen, sodass das Modifikationsflag korrekt gesetzt wird (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«). Anschließend legen Sie einen Transport an und transportieren Ihre SU24- Daten in das System, das auf dem Stand des neuen Release ist. Löschen Sie nun Ihre Zeitstempeltabellen. Dafür können Sie den Report SU25_INITIALIZE_TSTMP verwenden. Ab SAP NetWeaver 7.31 haben Sie die Auswahlmöglichkeiten, den Referenzzeitstempel aus den SU22-Daten zu setzen oder die Inhalte der Zeitstempeltabellen zu löschen. Anschließend können Sie Schritt 2a erneut ausführen.
Excel-basierte Werkzeuge kennen typischerweise die releasespezifischen Vorschlagswerte nicht (sie arbeiten oft ganz ohne die systeminterne Vorschlagswertemechanik, weil sie die Transaktion PFCG ja gar nicht verwenden). Damit ist ein Upgrade von Rollen mit SAP-Standardwerkzeugen, wie der Transaktion SU25, ebenfalls nicht möglich. Auch damit vergrößert sich die Abhängigkeit vom externen Werkzeug, und das Berechtigungswesen entfernt sich weiter vom SAP-Standard und den von SAP empfohlenen Best Practices bei der Rollenpflege.
Anzeigen sensibler Daten
Sie können nicht auf alles selbst ein Auge haben. Verhindern Sie daher, dass Ihre Kollegen Benutzern keine Benutzergruppe zuordnen, und sichern Sie so die korrekte Berechtigungsprüfung bei der Benutzerstammdatenpflege. Sie möchten nicht, dass ein Benutzer ohne Benutzergruppe in Ihren SAP-Systemen angelegt werden kann? Benutzer ohne Benutzergruppe können von allen Administratoren mit einer Berechtigung für beliebige Benutzergruppen geändert werden. Außerdem sollten Sie unvollständige Berechtigungsprüfungen bei der Zuordnung von Rollen und Profilen an Benutzer ohne Berechtigungsgruppe unterbinden. Denn es ist möglich, einem Benutzer zuerst Rollen und Berechtigungen zuzuweisen und erst später eine Benutzergruppe zuzuordnen, für die keine Berechtigung zur Zuordnung von Rollen und Profilen vorliegt. Sie möchten schließlich für einen bestehenden Benutzer die Benutzergruppe ändern, ohne eine Berechtigung für die neue Benutzergruppe zu haben? Wir zeigen Ihnen im folgenden Abschnitt, wie Sie die Absicherung Ihrer Benutzerstammdatenpflege vornehmen können.
In der Simulationsübersicht erhalten Sie nun alle Informationen, die Sie aus der Berechtigungspflege in der Transaktion PFCG bereits kennen. Die Ergebnisse werden in einer Tabelle dargestellt, bei der jede Zeile einem Werteintervall einer Berechtigung entspricht. In der Spalte Objekt wird das Berechtigungsobjekt angegeben. Über die Spalte Aktiv/Inaktiv erkennen Sie, ob die jeweilige Berechtigung deaktiviert wurde. Die Spalten Pflegestatus und Aktualisierungsstatus geben Auskunft zum Status der Berechtigung und darüber, wie die Berechtigung aktualisiert wurde. In der Spalte Berechtigungsvergleich erfahren Sie, was sich genau an der Berechtigung geändert hat, z. B. ob eine Berechtigung gelöscht oder neu hinzugefügt wurde oder ob die Feldwerte in der Berechtigung aktualisiert worden sind. Die Informationen zu den Feldwerten erhalten Sie in der Spalte Wertevergleich, aus der ersichtlich wird, ob Werte gleich geblieben, ergänzt oder gelöscht worden sind. Die eigentlich gelöschten und neu hinzugefügten Werte sehen Sie in den Spalten von Wert und bis Wert (siehe Abbildung nächste Seite). Bitte beachten Sie, dass es sich hier nur um eine Simulation handelt. Den eigentlichen Abmischvorgang müssen Sie nach wie vor in der Berechtigungspflege durchführen. Da das Abmischen von Rollen nicht nur bei Upgradenacharbeiten eine Rolle spielt, gibt es auch über die Transaktion SUPC die Möglichkeit, diesen Simulationsmodus aufzurufen. In der Übersicht der ausgewählten Rollen finden Sie wieder den Button Abmischen, der den Abmischvorgang simuliert.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Ein Teil der Gefahren geht von potenziellen Sicherheitslücken im ABAP-Code hervor, die sich meistens nicht durch nachgelagerte Maßnahmen schließen lassen und daher im Code selbst bereinigt werden müssen.
Sie sollten eine Anwendung wählen, bei der der Benutzer sein Passwort nicht so leicht vergisst.