Transaktion PFUD regelmäßig einplanen
Servicebenutzer
Sie möchten Ihr Berechtigungskonzept überarbeiten und die SAP-Rollen nur auf die produktiven Prozesse zuschneiden. Wir zeigen Ihnen, wie Sie die statistischen Nutzungsdaten aus dem Workload-Monitor für die SAP-Rollendefinition verwenden. Einer der größten Aufwandstreiber beim Redesign von SAP-Rollenkonzepten ist die Definition der transaktionalen Ausprägung von SAP-Rollen. Indem Sie die statistischen Nutzungsdaten aus dem Workload-Monitor verwenden, können Sie aufwendige Abstimmungen mit den Prozessverantwortlichen im Sinne eines Green Field Approachs vermeiden. Auf diese Weise können Sie Ihre SAP-Rollenkonzepte inhaltlich auf das Nutzungsverhalten abstimmen. Voraussetzung ist lediglich, dass die Daten für einen repräsentativen Zeitraum zur Verfügung stehen. Im SAP-Standard sind dies zwei Monate; Sie können diesen Zeitraum aber auch erweitern. Im Folgenden beschreiben wir, wie Sie die statistischen Nutzungsdaten aus dem Workload-Monitor für die SAP-Rollendefinition verwenden können.
Die Berechtigungsprüfung wird wiederum fortgesetzt, wenn es sich bei der betreffenden Tabelle um eine mandantenunabhängige Tabelle handelt. Dafür wird das Berechtigungsobjekt S_TABU_CLI geprüft, das über Pflegeberechtigungen für mandantenunabhängige Tabellen entscheidet. Bei der Tabelle T000 handelt es sich z. B. um eine mandantenunabhängige Tabelle, sodass diese Berechtigungsprüfung durchgeführt würde. Soll ein Benutzer diese Tabelle mithilfe der Transaktion SM30 pflegen können, müssen Sie neben der Berechtigung für die Tabellenberechtigungsgruppe oder für diese konkrete Tabelle auch das Berechtigungsobjekt S_TABU_CLI wie folgt pflegen: CLIIDMAINT: X.
Allgemeine Berechtigungen
Konzeptuell wird zwischen den Benutzertypen Database User und Technical User unterschieden. Database User sind Benutzer, die eine reale Person in der Datenbank repräsentieren. Sobald ein Database User gelöscht wird, werden zugleich alle (!) Datenbankobjekte, die von diesem Database User angelegt worden sind, ebenfalls gelöscht. Technical User sind Benutzer, die technische Aufgaben in der Datenbank wahrnehmen. Beispiele hierzu sind die Benutzer SYS und _SYS_REPO, mit denen administrative Aufgaben, wie z. B. die Erzeugung eines neuen Datenbankobjekts oder das Zuweisen von Privilegien, ermöglicht werden.
Im Rahmen des Erkennens von Berechtigungsproblemen sollte dokumentiert werden, was die Gefahren sind, wenn die aktuelle Situation beibehalten wird. Oftmals wollen Verantwortliche im Unternehmen keine Korrektur vornehmen, weil diese Kosten und Arbeit verursacht. Wenn das aktuelle Konzept funktioniert und Sicherheitslücken abstrakt sind, scheuen sich viele Verantwortliche, etwas zu ändern. Aus diesen Gründen sollte zunächst dokumentiert werden, welche Probleme und Gefahren lauern, wenn das aktuelle Konzept nicht korrigiert wird: Zunächst erhöht sich die Gefahr von Betrug, Diebstahl sowie Datenschutz- und Sicherheitsverstößen. Die Dokumentation kann helfen zu erkennen, wo Gefahren liegen. Es besteht grundsätzlich das Problem, dass dem Unternehmen ein finanzieller Schaden entsteht, wenn nicht gehandelt wird. Eine weitere Gefahr besteht darin, dass Anwender mit ihren Berechtigungen experimentieren und Schaden verursachen, der sich durch eine saubere Berechtigungsstruktur vermeiden lässt. Ebenfalls ein Problem ist der erhöhte Administrationsaufwand der Berechtigungsvergabe und -Verwaltung. Der Aufwand steigt an, wenn die aktuelle Rollenzuordnungen nicht transparent und optimal strukturiert sind.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
In komplexen SAP-Landschaften, in denen die Zentrale Benutzerverwaltung (ZBV) eingesetzt wird, können Fälle eintreten, in denen Sie ein Tochtersystem temporär aus der ZBV entfernen möchten, ohne dieses System löschen oder die ganze ZBV abschalten zu müssen, wenn z. B. kurzfristig Benutzer in einem Tochtersystem angelegt werden sollen.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Diese sind hauptsächlich in den Ordnern der Homepage und unter GENERIC_OP_LINKS zu finden.