Berechtigungstools – Vorteile und Grenzen
Ein kompliziertes Rollenkonstrukt
Das AIS Cockpit befindet sich zurzeit noch in der Pilotauslieferung ohne SAP-Default-Auditstrukturen. Sobald diese verfügbar sind, werden sie im SAP-Hinweis 1856125 aufgeführt. Vor der erneuten Umstellung des AIS auf themenbezogene Auditstrukturen wurden die AIS-Standardrollen der rollenbasierten Pflegeumgebung in den Kundennamensraum kopiert und den Benutzern zugeordnet. Die AIS-Standardrollen können Sie ebenfalls als Vorlage für kundeneigene Bereichsmenüs verwenden.
Zwischen SAP Berechtigungsberatern und ABAP Entwicklern besteht seit langer Zeit Uneinigkeit darüber, wie Berechtigungsobjektausprägungen im Coding umzusetzen sind. Dabei gibt es zwei Positionen: Zum einen wird von Consultants geraten, niemals auf das Signalwort DUMMY, die Konstante space oder das Literal ‘ ‘ zu testen. Diese Tests prüfen nur oberflächlich auf die Existenz eines Berechtigungsobjektes und reagieren nicht auf Einstellungen in der Feldausprägung im Profil der Rollen. Außerdem wird dann das Literal ‚ ‘ berechtigt, da es in der Transaktion STAUTHTRACE angezeigt wird. Zum anderen gibt es Situationen, in denen die Entwicklung diese oberflächlichen Tests nutzt, um dem User Zeit und der Maschine Ressourcen zu ersparen. Stellt das Programm frühzeitig fest, dass der User nicht die nötigten Objekte im Benutzerpuffer hat, kann es vor dem ersten SELECT abbrechen und eine entsprechende Fehlermeldung ausgeben. Beide Positionen enthalten einen wahren Kern. Schauen wir uns die Auswirkungen verschiedener Programmierungen an einem vereinfachten Beispiel an. Die Rolle(n) besitzen dabei ausschließlich das Berechtigungsobjekt S_DEVELOP mit der Feldausprägung DEVCLASS „Z*“.
Berechtigungen mit dem Status Gepflegt
Es wird in einem solchen Fall in der SU53 der letzte Fehler angezeigt oder Anzeige ist leer. Man kommt dann nicht umhin, die Fehlermeldung der Transaktion zu analysieren. Noch einen Tipp zum Schluss: Weisen Sie den Benutzer an, mit den Screen-Shot machen, damit wird das ganze aktive Window in die Zwischenablage gestellt, und Sie können erkennen, um welche Transaktion, welches System und in welchem Kontext der Transaktion es sich handelt. Kleinere „SnagIt“s sind meist nicht zu gebrauchen und führen zu unnötigen Rückfragen.
Starten Sie den Systemtrace für Berechtigungen (Transaktion ST01 oder STAUTHTRACE), um Berechtigungsprüfungen aufzuzeichnen, die Sie in die Rolle aufnehmen möchten (siehe Tipp 31, »Traceauswertung optimieren«). Es werden Anwendungen über Startberechtigungsprüfungen protokolliert.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Ob eine Transaktionsstartberechtigung beim Absprung erfolgen soll oder nicht können Sie in der Transaktion SE97 pflegen.
Dies dient u.a. dazu, dass (evtl. externe) Entwickler keinen Zugriff auf produktive bzw. produktionsnahe Daten haben.