Architektur von Berechtigungskonzepten
Ausprägungen SAP Berechtigungskonzept
In diesen Fällen werden die Gesamtberechtigungen aus den Feldern RFC_SYSID, RFC_CLIENT und RFC_USER nicht übernommen. Es wird Ihnen aber immer eine Systemnachricht angezeigt. Diese Einschränkungen lassen sich auch nicht über die Einstellungen des Customizing-Schalters ADD_S_RFCACL in der Tabelle PRGN_CUST verändern.
Rollen werden je nach Funktion der Mitarbeiter im Unternehmen zugewiesen und deren Gültigkeitsdauer je nach Aufgabe begrenzt. Rollenzuordnungen manuell in Benutzerstammsätzen aufzuräumen, ist sehr mühselig. Wir zeigen Ihnen, wie es einfacher geht. Mit der Zeit haben sich bei den Anwendern Ihres SAP-Systems viele Rollen im Benutzerstammsatz angesammelt. Diese Rollen haben unterschiedliche Gültigkeitszeiträume. Die Gültigkeit einiger Rollen ist bereits abgelaufen, und andere Rollen sind vielleicht mehrfach zugewiesen, weil ein Anwender z. B. mehrere Funktionen im Unternehmen übernimmt, bei denen zum Teil die gleichen Rollen zum Einsatz kommen. Nun suchen Sie nach einem einfachen Weg, um Rollenzuordnungen zu löschen, bei denen der Gültigkeitszeitraum abgelaufen ist, bzw. um mehrfach vergebene Rollenzuordnungen aufzuräumen.
Fehlende Definition eines internen Kontroll-Systems (IKS)
Bei den Einträgen in der Tabelle SPTH sollten Sie beachten, dass die Anwendung definiert, ob auf eine Datei mit oder ohne Angabe des Pfads zugegriffen wird. So verhalten sich die verwandten Transaktionen ST11 (Fehlerprotokolldateien) und AL11 (SAP-Verzeichnisse) unterschiedlich. Während ST11 fast alle Dateien ohne Pfad öffnet (sie befinden sich ohnehin im Verzeichnis DIR_HOME), benutzt AL11 grundsätzlich voll spezifizierte Dateinamen mit Pfad. Ein Eintrag in der Tabelle SPTH mit PATH = / ist daher irreführend. Er legt fest, dass die definierten Zugriffbeschränkungen für alle mit Pfad angegebenen Dateien gelten. Dies greift aber nur bei Anwendungen, die mit spezifiziertem Pfad auf Dateien zugreifen. Für Anwendungen, die ohne Pfadangabe auf Dateien zugreifen, gilt diese Zugriffsbeschränkung hingegen nicht; Dateien im Verzeichnis DIR_HOME sind also möglicherweise ausgenommen.
Ein sorgloser Umgang mit den Berechtigungen bei sensiblen Mitarbeiterdaten kann ganz schön in die Hose gehen. Verhindern Sie einen unkontrollierten und weitreichenden Reporting-Zugriff auf Ihre HCM-Daten, indem Sie das Berechtigungsobjekt P_ABAP richtig nutzen. In vielen Unternehmen ist der korrekte Einsatz von P_ABAP nicht bekannt. Daher kommt es häufig zu falschen Ausprägungen, die im schlimmsten Fall unkontrollierten Reporting-Zugriff auf alle Daten der logischen Datenbank PNPCE (bzw. PNP) erlauben. Auf diesem Weg können Sie also Ihre vorher mühsam in einem Berechtigungskonzept definierten Zugriffsbeschränkungen wieder aushebeln. Daher gilt es, den Einsatz von P_ABAP im Einzelfall zu prüfen und die vorhandenen Einschränkungsmöglichkeiten zu nutzen. Im Folgenden beschreiben wir die Logik, die hinter diesem Berechtigungsobjekt steckt, und welche Ausprägungen Sie unbedingt vermeiden sollten.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Verfügen die Tabellenparameter PROFILES oder ACTIVITYGROUPS über Einträge, sind dem Benutzer Berechtigungen in diesem System zugeordnet.
Hat er eine entsprechende Berechtigung, wird die Anzeige auf den erlaubten Bereich eingeschränkt.