Organisatorische Zuordnung
Ein Konzept für SAP-Berechtigungen beugt Systemfehlern und DSGVO-Verstößen vor
Jede Aktion des Notfallbenutzers muss nachvollziehbar sein, was die entsprechende Konfiguration von Protokollierungskomponenten wie dem Security Audit Log voraussetzt. Im Nachgang des Einsatzes werden stets sämtliche Logdateien ausgewertet und alle Details in einer Dokumentation festgehalten. Möglicherweise wird konzeptionell festgelegt, dass im Ernstfall auch an andere ausgewählte User eine erweiterte Berechtigungsvergabe erfolgen darf, das obliegt der Abwägung des Unternehmens.
Ein temporäres Abschalten der Zentralen Benutzerverwaltung wird in der Regel nicht empfohlen. In bestimmten Fällen kann es jedoch notwendig sein. Wir zeigen Ihnen, welche Vor- und Nacharbeiten erforderlich sind, um Dateninkonsistenzen zu vermeiden. In komplexen SAP-Landschaften, in denen die Zentrale Benutzerverwaltung (ZBV) eingesetzt wird, können Fälle eintreten, in denen Sie ein Tochtersystem temporär aus der ZBV entfernen möchten, ohne dieses System löschen oder die ganze ZBV abschalten zu müssen, wenn z. B. kurzfristig Benutzer in einem Tochtersystem angelegt werden sollen.
Anzeigen sensibler Daten
Wenn Sie keine Berechtigung besitzen z.B. für eine Transaktion und eine Meldung kommt das Ihnen die Berechtigung fehlt, können Sie mit der Transaktion SU53 die fehlende Berechtigung analysieren. Diese Transaktion zeigt die letzte fehlgeschlagene Berechtigungsprüfung, inklusive der Berechtigungsobjekte und Berechtigungsfelder.
Spielen Sie den SAP-Hinweis 1171185 in Ihr ZBV-System ein. Mit diesem Hinweis wird der Report RSUSR_SYSINFO_LICENSE ausgeliefert, der die Nutzertypen aus den an die ZBV angeschlossenen Systemen abruft und anzeigt. Zusätzlich muss allerdings der SAP-Hinweis 1307693, der neue Funktionalitäten der Lizenzvermessung enthält, auf den an die ZBV angeschlossenen Tochtersystemen installiert sein. Ergänzend müssen Sie gegebenenfalls die Berechtigungen der Benutzer in den RFC-Verbindungen zu den Tochtersystemen der ZBV um die Berechtigung zum Objekt S_RFC mit den Funktionsgruppen SUNI und SLIM_REMOTE_USERTYPES erweitern. Sollte der SAPHinweis 1307693 auf einem Tochtersystem nicht installiert oder die Berechtigungen des RFC-Benutzers nicht entsprechend angepasst worden sein, gibt der Report RSUSR_SYSINFO_LICENSE im Anwendungs-Log (Transaktion SLG1) eine entsprechende Warnung aus.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Das sichert die Qualität der Berechtigungen nachhaltig.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Die Details zu den relevanten Support Packages finden Sie in SAP-Hinweis 1891583.