Werte des Berechtigungstrace ins Rollenmenü übernehmen
Benutzer aus der Zwischenablage in die Auswahl von Transaktion SU10 kopieren
Wir empfehlen Ihnen, alle diese Änderungen zu transportieren. Grundsätzlich sollten Sie Änderungen an Organisationsebenen immer auf Ihrem Entwicklungssystem durchführen und dann transportieren. Wenn Sie mehrere Mandanten nutzen, sollten Sie dabei beachten, dass die Organisationsebenen und die Berechtigungsvorschlagswerte mandantenunabhängige Daten sind, wohingegen die betreffenden Rollen und Profile mandantenabhängig sind. Sollten Sie also mehr als einen Mandanten nutzen, müssen Sie zusätzlich den Report PFCG_ORGFIELD_ROLES in den anderen Mandaten ausführen, um die Rollen zu ermitteln, die die neue Organisationsebene enthalten. Mithilfe dieses Reports müssen Sie dann alle Rollen umstellen, die in der Spalte Status: Orgebene in Rolle rot gekennzeichnet sind. Diese Rollen können Sie markieren und sie dann über den Button Orgebenenfeld in Rollen umsetzen an die neue Organisationsebene anpassen.
Die Ergebnisse der Auswertung werden mit einem farbigen Symbol gekennzeichnet. Die Einstufung ist für die verschiedenen Berechtigungsprüfungen jeweils unterschiedlich. Der EWA enthält nicht ausschließlich Prüfungen zu den Sicherheitsaspekten und ist daher in verschiedene Abschnitte (z. B. Hardware, Performance) unterteilt. Die Prüfergebnisse in diesen Bereichen werden jeweils mit einem Ampelsymbol dargestellt. Ist eine der Prüfungen innerhalb eines Abschnitts rot gekennzeichnet, wird auch die Ampel für diesen Abschnitt auf Rot gesetzt.
Berechtigungen für die SAP-Hintergrundverarbeitung vergeben
Erstellen Sie eine Reporttransaktion für den Report, der im Hintergrundjob aufgerufen wird. Legen Sie die Reporttransaktion in der Transaktion SE93 an, und weisen Sie den Report RHAUTUPD_NEW als Programm zu. Starten Sie den Berechtigungstrace, indem Sie den Profilparameter auth/ authorization_trace auf Y setzen bzw. auf F, falls Sie mit Filtern arbeiten möchten (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«). Führen Sie nun den Job aus, um Berechtigungsprüfungen im Berechtigungstrace zu sammeln. Ihre Berechtigungsprüfungen sollten nun in der Transaktion STUSOBTRACE sichtbar sein. Pflegen Sie nun die Berechtigungsvorschlagswerte für Ihre Reporttransaktion in der Transaktion SU24, indem Sie den Transaktionscode im entsprechenden Feld eingeben. Sie werden feststellen, dass keine Werte gepflegt sind. Wechseln Sie nun in den Änderungsmodus. Über den Menüpfad Objekt > Objekte aus Berechtigungstrace einfügen > Lokal können Sie Ihre Berechtigungsvorschläge aus dem Trace hinzufügen (siehe Tipp 40, »Den Berechtigungstrace für die Ermittlung von Vorschlagswerten für kundeneigene Entwicklungen verwenden«). Fügen Sie für jedes angezeigte Berechtigungsobjekt die Vorschlagswerte hinzu. Erstellen Sie nun eine PFCG-Rolle, die die Berechtigung für die Reporttransaktion beinhaltet, und pflegen Sie die noch offenen Berechtigungsfelder. Testen Sie anschließend, ob der Job mit den Berechtigungen aus der PFCG-Rolle ausgeführt werden kann.
Welche Anwendungen verfügen über ähnliche oder gleiche Funktionen? Verwenden Sie die Anwendungssuche, um dies herauszufinden. Nehmen Sie einmal an, Sie sollen Zugriffe für bestimmte Benutzer oder Revisoren auf bestimmte Daten erlauben. Ein Revisor darf sich in der Regel Inhalte definierter Tabellen anschauen; um dem betreffenden Revisor allerdings nicht die Berechtigung für die Anwendung der generischen Tabellenwerkzeuge, wie z. B. der Transaktionen SE16, SM30 usw., zu erteilen, müssen Sie prüfen, ob die relevanten Tabellen eventuell über andere Transaktionen bereitgestellt werden. Die eigentliche Funktion der alternativen Anwendung soll dabei aber nicht genutzt werden.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Für einen automatischen Abgleich des Sicherheitsstands Ihrer Systeme sollten Sie diese Berechnung ebenfalls als Hintergrundjob einplanen.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Auch kundeneigene Tabellen sollten Sie immer einer Tabellenberechtigungsgruppe zuordnen, da ihnen ansonsten ebenfalls die Tabellenberechtigungsgruppe &NC& zugeordnet wird.