Allgemeine Betrachtungen
Anzahl der möglichen Profile über Referenzbenutzer erweitern
Einer Tabelle oder einem Pflege-View können Sie über die Transaktion SE11 oder über die Transaktion SE54 eine Tabellenberechtigungsgruppe zuweisen. Diese Zuordnung ist als Customizing-Einstellung definiert und bleibt damit auch nach einem Releasewechsel bestehen. Die Zuordnung einer Tabelle zu einer Tabellenberechtigungsgruppe nehmen Sie über die Transaktion SE11 vor, indem Sie Ihre Tabelle im Startbild auswählen und den Button Anzeigen betätigen.
Das SAP Berechtigungskonzept ist generell in zwei Ausprägungen zu erstellen: für den ABAP– sowie den Java-Stack. Welche Rollen benötigt werden, welche Rolle welche SAP-Funktionen aufrufen darf und weitere konzeptionelle Fragen sind dabei identisch. Dennoch gibt es fundamentale Unterschiede zwischen beiden Ausprägungen.
Mit den Standardbenutzern und deren Initialpasswörtern umgehen
Zu guter Letzt hilft Ihnen eine gut geführte Vorschlagswertepflege bei Upgradenacharbeiten an Vorschlagswerten und PFCG-Rollen. Hier wird sichergestellt, dass Ihre Änderungen und die Verbindungen zu den jeweiligen PFCG-Rollen erhalten bleiben und neue Berechtigungsprüfungen für das neue Release zu den Anwendungen hinzukommen.
Durch das Einspielen des SAP-Hinweises 1723881 lösen Sie das dritte der genannten Probleme, weil die Aufzeichnung derselben Rolle auf verschiedenen Transportaufträgen verboten wird. Um diese Änderung des Systemverhaltens zu aktivieren, müssen Sie den Customizing-Schalter CLIENT_SET_FOR_ROLES in der Tabelle PRGN_CUST auf den Wert YES setzen. Damit wird gleichzeitig die Berücksichtigung der Einstellung in der Transaktion SCC4 für die Änderung und Aufzeichnung mandantenspezifischer Customizing- Objekte (»Mandantenänderbarkeit«) für die Rollenpflege eingeschaltet.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Wenn Sie Rollen erstellen, die nur für bestimmte Systeme, wie z. B. das Entwicklungssystem gedacht sind, ist es sinnvoll, diese Information im Rollennamen aufzunehmen.
Unter dem Punkt Anpassung der Berechtigungsprüfungen (optional) sind die Transaktionen SU24 zur Vorschlagswertepflege, die Transaktion AUTH_SWITCH_OBJECTS zur globalen Ausschaltung von Berechtigungsobjekten sowie die Transaktion SE97 zur Pflege von Transaktionsstartberechtigungsprüfungen (siehe Tipp 76, »Transaktionsstartberechtigungen beim Aufruf CALL TRANSACTION pflegen«) aufgelistet.