ABAP-Programme debuggen mit Replace
Risiko: historisch gewachsenen Berechtigungen
Arbeiten Sie auch in einer komplexen Systemlandschaft, in der die Rollen dezentral gepflegt werden? Dann kann es durch den Transport von Profilen aus unterschiedlichen Systemen in ein Zielsystem zu Inkonsistenzen kommen. Wir zeigen Ihnen, wie Sie das verhindern. Bei dezentraler Pflege der Berechtigungsrollen, d. h. einer Pflege der Rollen in unterschiedlichen Systemen bzw. Mandanten, besteht das Risiko, dass sich die Nummernkreise für die Generierung von Berechtigungsprofilen überlappen. Sie können dann zu unterschiedlichen Rollen in unterschiedlichen Mandanten Profile mit gleichem Namen generieren. Sobald Sie diese gleichnamigen Berechtigungsprofile in ein gemeinsames Zielsystem transportieren, wird das bisherige Profil durch das neu importierte Profil überschrieben, und es entstehen Inkonsistenzen. In der Konsequenz kann es passieren, dass Sie beispielsweise einer ERP-Berechtigungsrolle ein SCMBerechtigungsprofil zuweisen. Dies kann dazu führen, dass ein Benutzer, dem die ERP-Rolle zugewiesen ist, nicht die benötigten oder sogar zu viele Berechtigungen erhält. Außerdem haben Sie ein Problem, falls Sie über das Berechtigungsprofil das Quellsystem und den Mandanten ermitteln wollen, in dem dieses Profil generiert wurde. Dies ist nicht möglich, wenn das erste und dritte Zeichen der SAP-System-ID (SID), und der Nummernkreis für die Generierung des Berechtigungsprofils übereinstimmen.
Um eine Operation im SAP-System durchzuführen, sind unter Umständen mehrere Berechtigungen erforderlich. Die daraus resultierenden Zusammenhänge können sehr komplex werden. Um trotzdem ein Verfahren anzubieten, welches überschaubar und leicht zu handhaben ist, wurde das SAP-Berechtigungskonzept auf der Basis von Berechtigungsobjekten realisiert. Mehrere zu schützende Systemelemente bilden dabei ein Berechtigungsobjekt.
User- & Berechtigungs-Management mit SIVIS as a Service
Im SAP-System werden Passwörter gesperrt, wenn die maximale Anzahl erlaubter Fehlversuche bei der Passwortanmeldung erreicht ist. Dieser Zähler wird bei jeder erfolgreichen Anmeldung mit einem Passwort wieder zurückgesetzt. Darüber hinaus kann ein Initialpasswort gesperrt werden, wenn seine Gültigkeit abgelaufen ist. Sowohl die Gültigkeit des Initialpassworts als auch der Maximalwert für Fehlversuche bei der Passwortanmeldung werden über Profilparameter gesetzt. Details hierzu finden Sie in Tipp 4, »Passwortparameter und gültige Zeichen für Passwörter einstellen«. Eine Passwortsperre verhindert nur die weitere Anmeldung eines Benutzers über sein Passwort, da die Anzahl der Fehlversuche nur dann ausgewertet wird, wenn die Anmeldung mittels Passwort erfolgt. Erfolgt also nun eine Anmeldung über andere Authentifizierungsverfahren (wie z. B. SSO), sind diese nicht von der Passwortsperre betroffen. Dies gilt ebenso für interne Ablaufverfahren (wie z. B. Hintergrundjobs) da bei Ihnen ebenfalls keine Passwortanmeldung notwendig ist. Dies verhindert z. B. sogenannte Denial-of-Service-Attacken, die zunächst die Sperre eines Passworts bewirken, um darüber interne Prozesse zu blockieren.
Beim Erstellen des Berechtigungskonzepts wird eine Namenskonvention für PFCG-Rollen definiert. Jeder Kunde hat hier eigene Vorlieben bzw. Vorgaben, an die man sich halten muss. Unseren Projekterfahrungen nach, bieten sich einige Namenskonventionen besonders an. Namenskonventionen für PFCG-Rollen können sehr vielfältig ausfallen. Sie haben sicher festgestellt, dass selbst die von SAP ausgelieferten Rollen keiner einheitlichen Namenskonvention entsprechen. So gibt es Rollen, deren Namen mit SAP_ anfangen. Es gibt aber auch Rollen, z. B. für das SRM-System, die mit dem Namensraum /SAPSRM/ beginnen. In diesem Tipp möchten wir Ihnen einige Hinweise und Kriterien mitgeben, die Sie bei der Definition einer Namenskonvention von PFCG-Rollen zurate ziehen können.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Mit dem Button Übernehmen können Sie hier nun die Werte zeilenweise, spaltenweise oder feldweise übernehmen.
Falls nicht, finden keine Zusatzprüfungen statt.