Fallstricke beim Excel-basierten Berechtigungswesen umgehen
Löschen von Tabellenänderungsprotokollen
Alternativ können Sie diese Informationen aus der Transaktion SE93 heraus pflegen, indem Sie zunächst eine Transaktion auswählen. Anschließend wird Ihnen über den Menüpfad Hilfsmittel > Berechtigung für gerufene Transaktionen die Liste aller Transaktionen angezeigt, die aus dieser Transaktion heraus aufgerufen werden können. Mit der Implementierung des SAP-Hinweises 1870622 wird eine Funktionserweiterung für die Transaktion SE97 bereitgestellt. Unter anderem gibt es die neue Schaltfläche Modifikationsabgleich. Bisher sind Änderungen in der Transaktion SE97 durch Einspielen von Support Packages oder Upgrades überschrieben worden. Mit dem Modifikationsabgleich ist es nun möglich, Ihre Änderungen mit den Standardwerten abzugleichen.
Die wichtigsten Security Services im Hinblick auf Berechtigungen sind der EarlyWatch Alert (EWA) und der SAP Security Optimization Service (SOS). Sie vergleichen die Einstellungen in Ihren SAP-Systemen mit den Empfehlungen von SAP. Beide Services werden als teilautomatisierte Remote Services geliefert; den SOS können Sie auch als vollautomatisierten Self-Service nutzen. Im EWA und SOS werden Berechtigungsprüfungen durchgeführt, deren Ergebnis immer wie folgt aufgebaut ist: Die Überschrift benennt den betreffenden Check. Ein kurzer Text beschreibt die Bedeutung der geprüften Berechtigung und das Risiko, das bei einer unnötigen Vergabe entsteht. Eine Liste gibt die Anzahl der Benutzer mit der geprüften Berechtigung in den verschiedenen Mandanten des analysierten SAP-Systems an. Im SOS können Sie sich die Benutzer zusätzlich aufführen lassen. Im SOS folgt für jeden Check eine Empfehlung, wie Sie das identifizierte Risiko minimieren können. Eine abschließende formale Beschreibung stellt die geprüften Berechtigungen dar. Es werden allerdings nicht nur die explizit genannten Transaktionen ausgewertet, sondern auch äquivalente Parameter- oder Variantentransaktionen.
Unzufriedenheit und unklarer Bedarf im Prozess
Der Berechtigungstrace ist aber nicht standardmäßig aktiv, sondern muss explizit über den Profilparameter “auth/authorization_trace” aktiviert werden. In der Transaktion RZ11 kann man einfach und schnell überprüfen, ob der Parameter bereits gesetzt ist. In der Transaktion RZ10 setzt man den Profilparameter. Standardmäßig ist der Profilparameter in SAP-Systemen (Profilparameter transport/systemtype = SAP) aktiv und in Kundensystemen (Profilparameter transport/systemtype = CUSTOMER) inaktiv.
Da gewisse Arten von Berechtigungen, wie z. B. Analyseberechtigungen, für SAP BW oder strukturelle Berechtigungen in SAP ERP HCM nicht auf SAPBerechtigungsprofilen beruhen, werden diese Berechtigungen im Berechtigungspuffer auch nicht angezeigt oder aufgefrischt. Für die Analyse solcher Berechtigungsprobleme müssen Sie daher die entsprechenden Werkzeuge nutzen, z. B. die Transaktion HRAUTH für SAP ERP HCM oder die Transaktion RSECADMIN für SAP BW. Dasselbe gilt für den Puffer des Organisationsmanagements für den Fall, dass Sie die indirekte Rollenzuordnung verwenden. Führen Sie hier den Report RHWFINDEXRESET aus, um den Puffer des Organisationsmanagements zurückzusetzen. Eine Voraussetzung zur Aktualität des Benutzerpuffers ist der korrekt ausgeführte Benutzerabgleich (grüne anstatt gelbe Statusampel auf der Registerkarte "Benutzer").
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Damit Sie diesen Tabelleneintrag transportieren können, müssen Sie in der Transaktion SE09 in die Objektliste des Transportauftrags gehen und dort manuell einen Eintrag mit dem Objektschlüssel R3TR TABU KBEROBJ anlegen.
Überprüfen Sie nun alle Berechtigungen in allen restlichen Profilen innerhalb des Sammelprofils SAP_NEW, die einen höheren Releasestand haben als das Upgradestartrelease der Softwarekomponente SAP_BASIS.