Berechtigungsprüfungen für Belege in FI erweitern
Risiko: historisch gewachsenen Berechtigungen
Sie möchten den Zugriff auf die Dateien des Anwendungsservers absichern? Erfahren Sie, welche Möglichkeiten Ihnen die Berechtigungsobjekte S_DATASET und S_PATH bieten, welche Einschränkungen bestehen und welche Fallstricke lauern. Der Zugriff auf die Dateien des Anwendungsservers ist durch im Kernel eingebaute Berechtigungsprüfungen geschützt, ähnlich wie der Start von Transaktionen und RFC-Funktionsbausteinen. Die von SAP ausgelieferten Berechtigungsvorschläge zum Berechtigungsobjekt S_DATASET bieten Ihnen keine große Hilfestellung, und zu S_PATH gibt es praktisch keine Informationen, da Sie dieses Berechtigungsobjekt erst durch das Customizing der Tabelle SPTH aktivieren müssen. Häufig werden daher die Berechtigungen zu S_DATASET zu großzügig ausgeprägt, die Tabelle SPTH kaum gepflegt und S_PATH gar nicht benutzt. Wir zeigen Ihnen hier, wie diese Berechtigungen funktionieren und wie Sie sie sinnvoll einschränken können.
Die Daten, die von den strukturellen Berechtigungen reglementiert werden, müssen sich hierarchisch strukturiert in einer der Personalentwicklungskomponenten befinden. Dies kann beispielsweise das Organisationsmanagement oder die Personalentwicklung sein. Die Zugriffe können dadurch relativ zum Wurzelobjekt innerhalb der hierarchischen Struktur geregelt werden.
Rollen über das Organisationsmanagement zuordnen
Eine Alternative zur Verwendung des Berechtigungsobjekts S_TABU_LIN ist die Erstellung von kundeneigenen Tabellen-Views, über die eine organisatorische Abgrenzung leichter zu erreichen ist. Hierzu legen Sie einen neuen View in der Transaktion SE11 an und fügen die Tabelle, für die die Einschränkung gelten soll, auf der Registerkarte Tabellen/Joinbedingungen hinzu. Über die Registerkarte Selektionsbedingungen können Sie Ihre einschränkende organisatorische Bedingung in Form eines Feldes und eines Feldwerts angeben. Anschließend berechtigen Sie alle relevanten Benutzer zum Zugriff auf den View, der nur Daten für Ihre organisatorische Einschränkung beinhaltet.
Seit Release 4.6D legt das System beim Neuaufbau eines Sammelrollenmenüs auf der ersten Hierarchieebene für jede in der Sammelrolle enthaltene Einzelrolle einen neuen Ordner an, in dem sich dann erst das entsprechende Menü befindet. Sie können dabei entscheiden, ob der Text jedes Ordners aus dem technischen Namen oder dem Kurztext der Rolle bestehen soll. Diese Funktion kann über das Customizing abgeschaltet werden.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Hilfe, ich habe keine Berechtigungen (SU53)! Du möchtest eine Transaktion starten, hast aber keine Berechtigungen? Oder der komplexere Fall: Du öffnest die ME23N (Bestellung anzeigen), siehst aber keine Einkaufspreise? Starte direkt danach die Transaktion SU53, um eine Berechtigungsprüfung durchzuführen.
Des Weiteren ist eine Automatisierung mithilfe eines kundenspezifischen ABAP-Programms möglich.