Anzeigen sensibler Daten
Sicherheit in Entwicklungssystemen
Sie müssen eine Nachrichtenklasse für die spätere Verwendung einrichten. Hierzu werden Sie beim ersten Aufruf der Transaktion GGB0 automatisch aufgefordert. Sollten einige relevante Felder des kompletten Belegs ausgeblendet sein, d. h. nicht zur Verfügung stehen, beachten Sie die Anleitungen im SAPHinweis 413956. Legen Sie eine Validierung in der Transaktion GGB0 an (z. B. GALILEO), und bestimmen Sie die Schritte der Validierung. Kopieren Sie bei der Anlage der Validierung das Programm RGGBR000 in Ihren Kundennamensraum und ersetzen Sie dabei die letzten drei Zeichen mit der Nummer des Mandanten, in dem die Prüfung durchgeführt werden soll. Weisen Sie anschließend Ihr neues kundeneigenes Programm mit der Transaktion GCX2 dem Arbeitsgebiet der Benutzer-Exit-Steuerung GBLR zu. Durch diese Zuordnung ist die Voraussetzung für mandantenabhängige User-Exits geschaffen. Sollten Sie einen mandantenunabhängigen User-Exit einrichten wollen, gehen Sie ebenso vor, nutzen aber die Transaktion GCX1.
Der Aufruf Ihrer Implementierung des BAdIs erfolgt als letzter Schritt des Speichervorgangs von Benutzerdaten. Dies gilt für alle Transaktionen oder Funktionsbausteine, die Änderungen an den Benutzerdaten vornehmen. Daher wird das BAdI auch bei der Pflege durch das BAPI BAPI_USER_CHANGE aufgerufen. Dieses BAPI nutzen Sie, wenn Sie einen Self-Service für das Zurücksetzen von Passwörtern implementieren, wie wir es in Tipp 52, »Passwörter mittels Self-Service zurücksetzen«, beschreiben. So ermöglichen Sie den verschlüsselten E-Mail-Versand von Initialpasswörtern im Rahmen eines Self-Services.
Herausforderungen im Berechtigungsmanagement
Bei einem Releasewechsel steht als Nacharbeit auch die Anpassung der Berechtigungen an. Dass diese Aufgabe sehr komplex sein kann, haben Sie sicher schon einmal selbst erfahren. Viele Neuerungen erleichtern Ihnen diese Arbeit und gestalten den ganzen Vorgang transparenter. Bei einem Releasewechsel kommen häufig nicht nur neue Anwendungen hinzu, sondern auch neue bzw. veränderte Berechtigungsobjekte, Berechtigungsprüfungen und, daraus resultierend, veränderte Vorschlagswerte. Mithilfe der Transaktion SU25 können Sie Schritt für Schritt erst die Vorschlagswerte auf den aktuellen Stand bringen und anschließend alle betroffenen Rollen. Bisher war die Transaktion für Sie jedoch eher eine Art Black Box. Sie haben die einzelnen Schritte ausgeführt, ohne zu sehen, wie Ihre Vorschlagswerte oder Rollen geändert wurden. Wir zeigen Ihnen nun, wie Sie die neuen Funktionen des SAP NetWeaver Application Servers ABAP verwenden können, um mehr Transparenz beim Upgrade der Vorschlagswerte und Abmischen der PFCG-Rollen zu erhalten.
Nach dem Abschluss der Programmumsetzung und Dokumentation schließt sich immer ein funktionaler Test an. Dabei sollte ein entsprechender Berechtigungstest nicht vergessen werden. Der Berechtigungstest muss sowohl einen positiven als auch einen negativen Berechtigungstest einschließen.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Hinzu kommt die Herausforderung, den Zugriff auf die zu prüfenden Geschäftsjahre einzuschränken.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Mit diesen Hinweisen wird der Report RSUSR_LOCK_USERS ausgeliefert bzw. erweitert.