Kundeneigene Anforderungen
Wie du Rollen und Berechtigungen im SAP-System analysierst
Eine Rolle, die Sie als Design-Time-Objekt im Design Time Repository erstellt haben, müssen Sie aktivieren, bevor diese einem Benutzer zugeordnet werden kann. Diese Aktivierung führen Sie über den Project Explorer aus, indem Sie die zu aktivierende Rolle auswählen und im Kontextmenü Team > Activate selektieren. Damit erzeugen Sie ein Runtime-Objekt dieser ausgewählten SAP-HANA-Rolle. Dieses Objekt wird auch als Katalogobjekt verstanden und im Zweig Rollen (Roles) im entsprechenden SAP-HANA-System eingegliedert.
Nachdem die funktionale Spezifikation abgenommen worden ist, kann man mit der Umsetzung begingen: Erstellen Sie dafür zuerst Ihr kundeneigenes Berechtigungsobjekt und implementieren Sie die dafür vorgesehene Berechtigungsprüfung. Im nächsten Schritt müssen Sie die Vorschlagswerte in der Transaktion SU24 für die jeweilige kundeneigene Transaktion pflegen. Rufen Sie hierzu Ihre eigens erstellte Transaktion auf, und weisen Sie die notwendigen Berechtigungsobjekte entweder manuell über den Button Objekt zu, oder verwenden Sie den Berechtigungs- oder Systemtrace zur Vergabe der Berechtigungen (siehe Tipp 40, »Den Berechtigungstrace zur Ermittlung von Vorschlagswerten für kundeneigene Berechtigungen verwenden«). Dabei müssen Sie die im kundeneigenen Coding verwendeten Berechtigungsobjekte hinterlegen. Pro Berechtigungsobjekt können Sie Feldwerte pflegen, die als Vorschlagswerte in den jeweiligen Rollen auftauchen. Nun müssen alle betroffenen Rollen angepasst werden. Ist der Abmischmodus für die Transaktion PFCG auf Ein gestellt (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«), werden alle PFCG-Rollen, die der jeweilige Transaktion im Rollenmenü zugewiesen werden, erkannt und können über die Transaktion SUPC neu abgemischt werden. Befindet sich die kundeneigene Transaktion noch nicht in den PFCG-Rollen, wird sie an dieser Stelle ergänzt, und die jeweilige PFCG-Rolle wird neu abgemischt.
PRGN_COMPRESS_TIMES
Der Berechtigungstrace ist jedoch ein Langzeittrace, den Sie über den dynamischen Profilparameter auth/authorization_trace einschalten können. Dieser Trace ist benutzer- und mandentenunabhängig. Der Trace ergänzt in Tabelle USOB_AUTHVALTRC die Berechtigungsprüfungen, die vor dem Ausführen der Anwendung noch nicht erfasst worden sind. Diese Funktion kann auch für kundeneigene Entwicklungen verwendet werden. Wechseln Sie nun in die Transaktion RZ11 (Pflege der Profilparameter), tragen Sie den Parameternamen auth/authorization_trace in das Selektionsfeld ein, und klicken Sie auf Anzeigen. Sie gelangen nun zur Detailansicht des Profilparameters mit sämtlichen Eigenschaften und der Verlinkung zu einer Dokumentation. Um den Trace einzuschalten, klicken Sie auf Wert ändern, und es öffnet sich ein Pop-up-Fenster. Tragen Sie hier im Feld Neuer Wert »Y« oder »F« für Filter ein, falls Sie einen Filter definieren möchten (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«), und speichern Sie Ihre Eingabe. Es erscheint nun eine Warnung mit der Information, dass der Parameterwert beim Durchstarten des Anwendungsservers wieder zurückgesetzt würde.
In diesen Fällen werden die Gesamtberechtigungen aus den Feldern RFC_SYSID, RFC_CLIENT und RFC_USER nicht übernommen. Es wird Ihnen aber immer eine Systemnachricht angezeigt. Diese Einschränkungen lassen sich auch nicht über die Einstellungen des Customizing-Schalters ADD_S_RFCACL in der Tabelle PRGN_CUST verändern.
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Hinter diesen verbirgt sich ein Prüfmechanismus, der auf so genannten Berechtigungsobjekten aufsetzt, durch welche die Objekte bzw. Transaktionen geschützt sind.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Genau aus diesem Grund gibt es die Lösung, mittels Toolunterstützung die Überprüfung des Berechtigungswesens in Hinblick auf kritische Berechtigungen und Segregation of Duties zu automatisieren.