Benutzerverwaltung (Transaktion SU01)
Berechtigungskonzepte – Vorteile und Architektur
Beim Durchlauf der Rollen wird nach sich unterscheidenden Wertebereichen für das betreffende Feld innerhalb einer Rolle gesucht. Es findet eine automatische Bereinigung statt, indem beide Wertebereiche zusammen in alle Felder geschrieben werden. Daher sollten Sie solche Einträge bereits vorher bereinigen und gegebenenfalls zwei unterschiedliche Rollen erstellen. Der Report PFCG_ORGFIELD_CREATE bietet einen Testlauf an, mit dem Sie alle betroffenen Rollen identifizieren können. Die Spalte Status gibt einen Überblick über den Stand der Berechtigungswerte. Ist der Status gelb, gibt es unterschiedliche Wertebereiche für das Feld innerhalb der Rolle; die Rolle muss also bereinigt werden.
Bitte beachten Sie in diesem Fall, dass Sie die Tabellenberechtigungsgruppe SS gegebenenfalls durch andere Tabellenberechtigungsgruppen ersetzen müssen. Dies ist erforderlich, wenn Sie bei der Pflege der Tabellenberechtigungsgruppen z. B. für die Tabelle T000 eine andere Tabellenberechtigungsgruppe eingetragen haben.
Objekt S_BTCH_ADM (Batch-Administrationsberechtigung)
Wenn Sie die Konfigurationsvalidierung nutzen, empfehlen wir Ihnen trotzdem die gelegentliche Nutzung der AGS Security Services, wie des EarlyWatch Alerts und des SAP Security Optimization Services, die wir in Tipp 93 »AGS Security Services nutzen«, beschreiben. SAP hält die Vorgaben und Empfehlungen in den AGS Security Services aktuell und passt sie an neue Angriffsmethoden und Sicherheitsvorgaben an. Haben Sie im Rahmen eines Security Services neue Sicherheitsaspekte erkannt, können Sie Ihre Zielsysteme entsprechend einstellen und diese Aspekte künftig ebenfalls überwachen.
Abhängig von der aufgerufenen Transaktion, kann die Anwendung über diese zusätzliche Berechtigungsprüfung granularer geprüft werden. Aus diesem Grund erfordern Transaktionen, die mit zusätzlichen Parametern aufgerufen werden, unter Umständen mehr als ein Berechtigungsobjekt und müssen unbedingt programmatisch geschützt werden. Das folgende Listing zeigt ein Beispiel für eine Berechtigungsprüfung, die sicherstellt, dass der angemeldete Anwender die erforderliche Berechtigung hat, um die Transaktion SU24 zu starten.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Hier ist es durchaus auch möglich ein Berechigungsobjekt über die Schaltfläche MANUELL mehrfach in die Rolle einzutragen.
Wenn Sie Referenzbenutzer verwenden möchten und Sie das Benutzermenü nutzen, sollten Sie zusätzlich dafür sorgen, dass die Anwender auch die den Referenzbenutzern zugeordneten Rollenmenüs sehen.