Das SAP-Berechtigungskonzept
Ausprägungen SAP Berechtigungskonzept
Wird durch das Programm festgestellt, dass beide in den vorangehenden Aufzählungspunkten genannten Kriterien erfüllt sind, liegt das Kriterium der Gleichheit vor. Dies bedeutet, dass die Vorschlagswerte der bereits vorhandenen und neu hinzuzufügenden Berechtigung aus der gleichen Transaktion stammen. Somit fügt das Programm keine neue Standardberechtigung in den Berechtigungsbaum ein.
SAP_NEW stellt ein spezifisches Berechtigungsprofil dar, in dem die konkreten Berechtigungsänderungen zwischen zwei SAP-Releaseständen zusammengefasst sind. Zu unterscheiden ist dabei zwischen der Auslieferung des SAP_NEW-Profils durch SAP und der Generierung einer SAP_NEW-Rolle mit einem dazugehörigen Profil durch Sie als SAP-Kunden (siehe auch den SAPHinweis 1711620). Abhängig von der Vorgehensweise zur Berechtigungsnachpflege kann die Berechtigung SAP_NEW jedem Benutzer in einem Entwicklungs- und Qualitätssicherungssystem unmittelbar nach dem technischen Systemupgrade zugewiesen werden. Ziel ist es jedoch, in der Produktionsumgebung jedem Benutzer möglichst nur Berechtigungen zuzuweisen, die er für seine Geschäftsvorfälle benötigt. Im Umfeld von Upgrades müssen die hierzu korrekten Berechtigungen ermittelt und in entsprechende Berechtigungsrollen integriert werden.
Alten Stand lesen und mit den neuen Daten abgleichen
Weitere Projekteinstellungen sollten Sie auf den Registerkarten Umfang, Projektsichten, Projektmitarbeiter, Statuswerte, Stichwörter Dokumentationsarten, Transportaufträge und Crossreferenz definieren. Nachdem alle Eingaben getätigt worden sind, müssen Sie das Projekt sichern. Vergessen Sie dabei nicht, das Projekt zu generieren. Mithilfe der Transaktion SPRO können Sie das neu angelegte Customizing-Projekt bearbeiten. Beim ersten Aufruf wird das neu angelegte Projekt noch nicht angezeigt. Klicken Sie zur Anzeige auf den Button Aufnehmen in den Arbeitsvorrat ( ), wählen Sie Ihr Projekt aus, und bestätigen Sie schließlich Ihre Auswahl. Nachdem Sie das Projekt erfolgreich erstellt, generiert oder bearbeitet haben, führen Sie zum Anlegen einer passenden Customizing-Rolle für das Projekt die Transaktion PFCG aus. Wählen Sie einen Namen für die Rolle, und klicken Sie anschließend auf Einzelrolle anlegen. Nun öffnen Sie die Registerkarte Menü und folgen dem Pfad: Hilfsmittel > Customizing Berechtigungen > Hinzufügen > Einfügen von Customizing Aktivitäten. Wählen Sie dann zwischen IMG Projekt und Sicht eines IMG Projektes. Alle Transaktionscodes werden aus dem IMG-Projekt in das Menü der Rolle aufgenommen. Beachten Sie dabei, dass es sich um eine sehr große Anzahl an Transaktionen handeln kann und der Vorgang daher länger andauern kann. Die Ausprägung der Berechtigungsobjekte pflegen Sie anschließend wie gewohnt über die Registerkarte Berechtigungen. Sichern und generieren Sie die Rolle.
Abschließend wollen wir Ihnen einige Empfehlungen für die Absicherung des Dateizugriffs mit auf den Weg geben. Mit der Tabelle SPTH können Sie bereits ohne Vergabe von Berechtigungen das Dateisystem grundsätzlich vor Zugriffen von ABAP-Programmen schützen und bewusst Ausnahmen definieren. Das Problem ist die Ermittlung der notwendigen Ausnahmen. Da die Prüfung auf SPTH aber immer zusammen mit der Prüfung auf das Objekt S_DATASET durchgeführt wird, können Sie die verwendeten Pfade über einen lang laufenden Berechtigungstrace mit Filter für das Berechtigungsobjekt S_DATASET ermitteln. Die Vorgehensweise dafür ist im Detail in unserem Tipp 39, »Vorschlagswerte unter der Zuhilfenahme von Traceauswertungen pflegen«, beschrieben. Wenn Sie Anwendungen einsetzen, die ohne Pfad auf Dateien im Verzeichnis DIR_HOME zugreifen, wie z. B. die Transaktion ST11, müssen Sie den Zugriff auf die erlaubten Dateigruppen einzeln spezifizieren (z. B. dev_, gw_), da es eine Wildcard für DIR_HOME nicht gibt.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Bei Änderungen an mandantenunabhängigen Tabellen prüft das System auch die Berechtigungen für das Objekt S_TABU_CLI.
Hier musste ich dann ebenfalls einen Moment suchen an welcher Stelle für SAP Keyuser und nicht nur für die SAP Basis im SAP System eine Berechtigung aufrufbar ist und mag dieses gerne zum Anlass nehmen um hier im Artikel ein paar Grundlagen zur "Anatomie" der SAP Berechtigungen schreiben.