Berechtigungen für den Dateizugriff steuern
Wie du Rollen und Berechtigungen im SAP-System analysierst
Seit SAP NetWeaver 7.02 ist eine solche Funktion verfügbar, d. h., dass Sie auf die Daten des Berechtigungstrace aus dem Systemtrace zugreifen können, um PFCG-Rollen zu pflegen. Im Folgenden zeigen wir Ihnen, wie Sie die Berechtigungswerte aus dem Berechtigungstrace in Ihre Rolle übernehmen können. Dazu zeichnen Sie in einem ersten Schritt Anwendungen anhand ihrer Berechtigungsprüfungen auf und können diese anschließend in Ihr Rollenmenü übernehmen.
Arbeiten Sie auch in einer komplexen Systemlandschaft, in der die Rollen dezentral gepflegt werden? Dann kann es durch den Transport von Profilen aus unterschiedlichen Systemen in ein Zielsystem zu Inkonsistenzen kommen. Wir zeigen Ihnen, wie Sie das verhindern. Bei dezentraler Pflege der Berechtigungsrollen, d. h. einer Pflege der Rollen in unterschiedlichen Systemen bzw. Mandanten, besteht das Risiko, dass sich die Nummernkreise für die Generierung von Berechtigungsprofilen überlappen. Sie können dann zu unterschiedlichen Rollen in unterschiedlichen Mandanten Profile mit gleichem Namen generieren. Sobald Sie diese gleichnamigen Berechtigungsprofile in ein gemeinsames Zielsystem transportieren, wird das bisherige Profil durch das neu importierte Profil überschrieben, und es entstehen Inkonsistenzen. In der Konsequenz kann es passieren, dass Sie beispielsweise einer ERP-Berechtigungsrolle ein SCMBerechtigungsprofil zuweisen. Dies kann dazu führen, dass ein Benutzer, dem die ERP-Rolle zugewiesen ist, nicht die benötigten oder sogar zu viele Berechtigungen erhält. Außerdem haben Sie ein Problem, falls Sie über das Berechtigungsprofil das Quellsystem und den Mandanten ermitteln wollen, in dem dieses Profil generiert wurde. Dies ist nicht möglich, wenn das erste und dritte Zeichen der SAP-System-ID (SID), und der Nummernkreis für die Generierung des Berechtigungsprofils übereinstimmen.
Gewährleistung einer sicheren Verwaltung
Mit der Transaktion SU53 kann man sofort für einen einzelnen SAP-Benutzer die fehlenden Berechtigungen anzeigen lassen. Das ist dann von Vorteil, wenn einzelne Hintergrundverarbeitungen oder Tätigkeiten nicht korrekt ausgeführt werden und die Vermutung nahe liegt, dass die Ursache an fehlenden Berechtigungen liegt. So kann man die Fehlerursache schneller eingrenzen.
Das ABAP Test Cockpit erreichen Sie über das Kontextmenü des zu prüfenden Objekts über Prüfen > ABAP Test Cockpit. Beachten Sie, dass die globale Checkvariante des Code Inspectors, die Sie in der Transaktion SCI angelegt haben und die als Default in der Transaktion ATC (ATC-Konfiguration) eingetragen ist, die Sicherheitstests der erweiterten Programmprüfung des SAP Code Vulnerability Analyzers beinhaltet.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Wie beim Berechtigungstrace muss der Profilparameter “auth/authorization_trace” in der Parameterverwaltung (Transaktion RZ10) entsprechend gesetzt werden.
Die Vorschlagswerte für diese Transaktionen sind sehr allgemein und sehen nur vor, die Berechtigungsobjekte S_TABU_DIS oder S_TABU_CLI zu verwenden.