Architektur von Berechtigungskonzepten
S_RFC-Berechtigungen mithilfe von Nutzungsdaten definieren
Nach der Erstellung eines Berechtigungsobjekts sollten Sie noch die folgenden Aufgaben ausführen: Nehmen Sie die Implementierung der Berechtigungsprüfung an einer geeigneten Stelle im Code vor. Pflegen Sie die Vorschlagswerte für die betreffende Anwendung in der Transaktion SU24. Laden Sie die Rolle nochmals neu in die Transaktion PFCG, wenn die Anwendung bereits in Rollen berechtigt wurde. Handelt es sich um eine neue Anwendung, passen Sie die Rollen an, indem Sie die neue Anwendung ins Rollenmenü aufnehmen und anschließend die Berechtigungen der Berechtigungsobjekte pflegen, die über die Vorschlagswerte in die Rolle geladen worden sind.
Zusätzlich zu Ihren kundeneigenen Berechtigungsobjekten müssen Sie auch die anderen relevanten Berechtigungsobjekte für CO-PA in den Berechtigungen Ihrer Benutzer ausprägen. So müssen Sie in der Regel den Zugriff auf die Ergebnisberichte über das Objekt K_KEB_REP auf den Ergebnisbereich und den Berichtsnamen begrenzen und die Funktionen des Infosystems im Objekt K_KEB_TC einschränken, z. B. auf die Ausführung oder die Aktualisierung von Berichten. Für die Pflege der Berechtigungsobjekte im Customizing der Ergebnis- und Marktsegmentrechnung brauchen Sie ebenfalls Berechtigungen. Vergeben Sie dazu Berechtigungen für das Objekt K_KEPL_BER. Im Feld CEERKRS definieren Sie den Ergebnisbereich, für den Berechtigungsobjekte angelegt werden, und im Feld ACTVT definieren Sie die Aktivität, wobei die Aktivität 02 für Anlegen und Ändern steht.
Berechtigungen für Spoolaufträge vergeben
Viele Unternehmen konvertieren gerade ihre aktuellen SAP Systeme von einem ERP Stand auf ein SAP S/4HANA System. Durch diese Konvertierung kommen auf die jeweiligen Unternehmen viele technische und auch organisatorische Komponenten zu. Hierbei ist der Zeitfaktor zur Ermittlung, Organisation und Implementierung der notwendigen Komponenten nicht zu unterschätzen. Der Bereich Security wird hierbei oft gedanklich vernachlässigt, kann aber im Nachhinein zu großen Problemen und ggf. imagebedingten Schäden – und daraus resultierenden finanziellen Einbußen – führen. Daher sollte die Implementierung eines vollumfänglichen Berechtigungskonzeptes so früh wie möglich innerhalb der Projektphase berücksichtigt werden, da hier mehrere Komponenten ineinandergreifen.
Der Hintergrund des massenhaften Vorhandenseins von Berechtigungsobjekten in einer PFCG-Rolle, nachdem ein Rollenmenü erstellt worden ist, ist in der Regel die Masse an generischen OP-Links, die eigentlich für die CRMBusiness- Rolle gar nicht notwendig sind. Durch das Vorhandensein von Vorschlagswerten aus der Transaktion SU24 werden die zu den jeweiligen externen Services gehörigen Berechtigungsvorschlagswerte in die PFCG-Rolle geladen, was zur Folge hat, dass dort zu viele unnötige Berechtigungsobjekte untergebracht werden. Mit dem Ausklammern des Ordners GENERIC_OP_LINKS müssen Sie sich in Ihrer PFCG-Rolle nur um die externen Services und deren Berechtigungsobjekte kümmern, die in der CRM-Business-Rolle konfiguriert wurden. Damit ein Anwender über alle notwendigen Berechtigungen verfügt, weisen Sie diesem nun die Grundrolle mit den Berechtigungen zu den generischen OP-Links und die eigentliche Rolle zu, die den Arbeitsplatz des Anwenders beschreibt.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Ein Self- Service, der sich der Business Application Programming Interfaces (BAPIs) bedient, kann diesem entgegenwirken.
Sie brauchen für die Umsetzung dieses Tipps eine eigene Sicherheitsrichtlinie für Administratoren, was häufig auch aus anderen Gründen sinnvoll ist.