Auswertungen von Berechtigungen und Benutzerstammsätzen
Ungeklärte Zuständigkeiten, besonders zwischen Fachbereich und IT
Die Änderungen, die durch das Einspielen des Hinweises bzw. durch ein Upgrade auf die genannten Support Packages entstehen, betreffen nicht nur das Profil SAP_ALL. Es bleibt zwar grundsätzlich weiterhin möglich, die Gesamtberechtigung für die Felder RFC_SYSID, RFC_CLIENT und RFC_USER zu vergeben; dies kann jedoch nur noch manuell in der Transaktion PFCG über die Dialogpflege der Felder erfolgen. In diesem Fall öffnet sich ein weiteres Dialogfenster, in dem auf das Sicherheitsrisiko hingewiesen wird. Dieses Fenster müssen Sie bestätigen. Aus dieser Umstellung des Verhaltens des Profils SAP_ALL folgt, dass sämtliche automatischen Methoden für die Übernahme der Gesamtberechtigung in den Feldern des Berechtigungsobjekts S_RFCACL nicht mehr zur Verfügung stehen.
Nehmen wir an, eine Benutzerin – wir nennen sie Claudia – soll die Spoolaufträge eines anderen Benutzers – in unserem Beispiel Dieter – in der Transaktion SP01 bearbeiten können. Was müssen Sie als Administrator dafür tun? Jeder Spoolauftrag besitzt ein Feld Berechtigung; standardmäßig ist dieses Feld leer. Wenn sich Claudia einen Spoolauftrag von Dieter ansehen möchte, überprüft das System, ob Claudia über eine bestimmte Berechtigung für Spoolaufträge mit dem Wert DIETER verfügt. Für ihre eigenen Spoolaufträge, die nicht mit einem speziellen Berechtigungswert geschützt sind, benötigt Claudia keine zusätzlichen Berechtigungen.
Berechtigungskonzepte – Vorteile und Architektur
Sie möchten den Zugriff auf die Dateien des Anwendungsservers absichern? Erfahren Sie, welche Möglichkeiten Ihnen die Berechtigungsobjekte S_DATASET und S_PATH bieten, welche Einschränkungen bestehen und welche Fallstricke lauern. Der Zugriff auf die Dateien des Anwendungsservers ist durch im Kernel eingebaute Berechtigungsprüfungen geschützt, ähnlich wie der Start von Transaktionen und RFC-Funktionsbausteinen. Die von SAP ausgelieferten Berechtigungsvorschläge zum Berechtigungsobjekt S_DATASET bieten Ihnen keine große Hilfestellung, und zu S_PATH gibt es praktisch keine Informationen, da Sie dieses Berechtigungsobjekt erst durch das Customizing der Tabelle SPTH aktivieren müssen. Häufig werden daher die Berechtigungen zu S_DATASET zu großzügig ausgeprägt, die Tabelle SPTH kaum gepflegt und S_PATH gar nicht benutzt. Wir zeigen Ihnen hier, wie diese Berechtigungen funktionieren und wie Sie sie sinnvoll einschränken können.
Zum Schluss möchten wir Sie noch auf den SAP-Hinweis 1781328 aufmerksam machen, der den Report PFCG_ORGFIELD_ROLES_UPD bereitstellt. Mit diesem Report wird eine Massenaktualisierung bestehender Rollenableitungen ermöglicht. Dabei wird allerdings nicht das Konzept der Organisationsmatrix verwendet, sondern Sie müssen die neuen Organisationswerte direkt beim Aufruf des Reports hinterlegen. Deshalb erfordert diese Funktion einen hohen Grad an Verständnis für die im Hintergrund laufenden Anpassungen und ist aus diesem Grund nur als Pilothinweis verfügbar. Das heißt, dass dieser Hinweis explizit über eine Kundenmeldung angefragt werden muss und erst daraufhin vom SAP-Support gegebenenfalls für Sie freigegeben wird. Es ist aktuell nicht geplant, den Hinweis etwa über ein Support Package allgemein verfügbar zu machen.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Bitte beachten Sie dabei stets, dass der grundlegende Mechanismus das Abspielen einer Aufzeichnung ist und daher etwa andere Organisationsebenen (z. B. eine dritte Organisationsebene, die aber im Dialog vor Werk und Verkaufsstelle steht) auch eine andere Aufzeichnung und Bearbeitung benötigen.
Das Setzen von Gültigkeiten bei zugeordneten Rollen verhindert zwar ebenfalls, dass der Benutzer noch Aktionen im System durchführen kann, unterbindet aber nicht generell deren Anmeldung.