Basisadministration
Kritische Berechtigungen
Sie benutzen das Profil SAP_ALL für Schnittstellenbenutzer, und nach dem Upgrade auf ein neues Support Package entstehen Berechtigungsfehler? Wir können die Verwendung des Profils SAP_ALL zwar nicht empfehlen, beschreiben hier aber, wie Sie dieses Problem kurzfristig beheben können. In neueren SAP-NetWeaver-Releases enthält das Profil SAP_ALL keine Berechtigung mehr für das Berechtigungsobjekt S_RFCACL. Dies kann zu Berechtigungsfehlern, z. B. bei Schnittstellenbenutzern führen, wenn diesen das Profil SAP_ALL zugeordnet wurde. Wir weisen an dieser Stelle darauf hin, dass wir die Verwendung des Profils SAP_ALL nur für absolute Notfallbenutzer empfehlen können. Anstatt diesen Tipp anzuwenden, sollten Sie daher vorzugsweise die Berechtigungen Ihrer Schnittstellenbenutzer bereinigen. Wie Sie dabei vorgehen, erfahren Sie in Tipp 27, »S_RFC-Berechtigungen mithilfe von Nutzungsdaten definieren«. Eine solche Bereinigung der Berechtigungen Ihrer Schnittstellenbenutzer kann allerdings nicht von heute auf morgen erfolgen. Daher erklären wir Ihnen hier, wie Sie das Problem kurzfristig beheben.
Sollten Sie trotz der regelmäßigen Archivierung und Indizierung der Änderungsbelege Ihrer Benutzer- und Berechtigungsverwaltung noch Probleme mit der Performance der Auswertung haben, liegt dies vermutlich an der Menge der zentralen Änderungsbelege. In diesem Fall brauchen Sie ebenfalls ein Archivierungskonzept für andere zentrale Änderungsbelegdaten. In SAPHinweis 1257133 wird die Vorgehensweise zur Erstellung eines solchen Konzepts beschrieben.
Konzepte der SAP Security
Sie möchten den Überblick behalten, welche Änderungen in der Konfiguration der Zentralen Benutzerverwaltung oder an den Verteilungsparametern für die Benutzerstammpflege vorgenommen wurden? Hierzu können Sie die Änderungsbelege zentral verwalten. Über die Zentrale Benutzerverwaltung (ZBV) werden Benutzer angelegt, Rollen zugeordnet und in die jeweiligen Tochtersysteme verteilt. Dafür muss die ZBV einmal initial konfiguriert werden. Dazu gehören u. a. das Definieren der ZBV-Landschaft, d. h. das Festlegen von Zentralsystem und Tochtersystemen, das Einstellen der Verteilungsparameter sowie die Übernahme der Benutzer aus den Tochtersystemen in das Zentralsystem. Die ZBV können Sie auch im Nachhinein noch weiterkonfigurieren. So können Sie z. B. Tochtersysteme hinzufügen oder aus der ZBV herauslösen. Einstellungen zu den Verteilungseigenschaften der Felder können Sie in der Transaktion SCUM verändern, sodass Felder, die ursprünglich global über die ZBV verteilt wurden, auch lokal pflegbar sind. Alle diese Informationen zu den Änderungen an der ZBV-Konfiguration wurden bisher nicht zentral protokolliert.
Manuelles Berechtigungsprofil - Um den Bearbeitungsaufwand bei Verwendung manueller Berechtigungsprofile zu minimieren, tragen Sie meist nicht einzelne Berechtigungen, sondern zu Berechtigungsprofilen zusammengefasste Berechtigungen in den Benutzerstammsatz ein. Änderungen an Zugriffsrechten werden für alle Benutzer wirksam, deren Benutzerstammsatz das Profil enthält, sobald sie sich das nächste Mal am System anmelden. Bereits angemeldete Benutzer sind also zunächst nicht von Änderungen betroffen.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Wir möchten Ihnen die Erstellung von Rollen zu diesen Berechtigungen erleichtern, indem wir Ihnen erklären, welche Tätigkeiten vorab notwendig sind, um das Feld RESPAREA als Organisationsebene definieren zu können.
Für die Auswahlkriterien Mandant und Benutzer können Sie generische Werte verwenden, d. h., dass Sie alle Mandanten oder Benutzer selektieren können, die bestimmten Namenskriterien entsprechen (z. B. Mandant 10* oder Benutzer SOS_*).