Durch rollenbasierte Berechtigungen Ordnung schaffen
Berechtigungen für den SAP NetWeaver Business Client steuern
Müssen die Berechtigungen für eine selbst entwickelte UI-Komponente für den SAP CRM Web Client immer manuell gepflegt werden? Nicht unbedingt – wenn Sie sie als Vorschlagswerte für externe Services definieren. Haben Sie in SAP CRM eigene UI-Komponenten im Kundennamensraum entwickelt, und möchten Sie diese nun über den Standardprozess berechtigen, d. h. mithilfe des Reports CRMD_UI_ROLE_PREPARE ein Rollenmenü für eine PFCG-Rolle erstellen, müssen Sie zunächst einige Vorarbeiten leisten. Wenn Sie den Report ausführen, werden Sie feststellen, dass die externen Services zu Ihren Eigenentwicklungen nicht vorhanden sind und somit auch nicht im Rollenmenü auftauchen. Der einzige Weg zur Berechtigung Ihrer UI-Komponenten wäre nun ein manuelles Pflegen des Berechtigungsobjekts UIU_COMP. Jedoch können Sie Ihre eigenen UI-Komponenten als externe Services mit Vorschlagswerten in der Transaktion SU24 pflegen und sich diese Informationen in der PFCG-Rollenpflege zunutze machen.
Wenn Sie Ihre SAP-Systemlandschaft über die Zentrale Benutzerverwaltung (ZBV) verwalten, müssen Sie den SAP-Hinweis 1663177 sowohl in das ZBV-System als in alle angeschlossenen Tochtersysteme einspielen. Beachten Sie in diesem Fall auch, dass die Standardbenutzergruppe in den Tochtersystemen zugeordnet wird, wenn bei der Anlage des Benutzers aus der ZBV keine Benutzergruppe verteilt wurde. Zusätzlich erhalten Sie in der Transaktion SCUL eine Fehlermeldung, die besagt, dass dem Benutzer (über die ZBV-Zentrale) eine Benutzergruppe zugeordnet werden muss. Dieses Verhalten ist unabhängig von den Einstellungen der Verteilungsparameter für die Benutzergruppe in der Transaktion SCUM. Sollten Sie die Verteilungsparameter für die Benutzergruppe auf Global oder Rückverteilung eingestellt haben, weist das entsprechende Tochtersystem die Änderungen an Benutzern, die im Zentralsystem über keine Benutzergruppe verfügen, ab, und Sie erhalten eine Fehlermeldung in der Transaktion SCUL.
Security Automation bei SAP Security Checks
Anders als beim EWA ist es für den SOS möglich, Benutzer aufzulisten, die weitreichende Berechtigungen benötigen. Sie können also eine Whitelist pflegen. Wir empfehlen Ihnen, mit den Ergebnissen des SOS wie folgt umzugehen: Prüfen Sie, ob alle identifizierten Benutzer die kritische Berechtigung benötigen. Ergänzen Sie die Benutzer, die diese Berechtigung benötigen, in der Whitelist. Entziehen Sie den anderen Benutzern diese Berechtigung.
Sie weisen einem Dialogbenutzer einen Referenzbenutzer zu, indem Sie den Referenzbenutzer in der Transaktion SU01 auf der Registerkarte Rollen im Feld Referenzbenutzer für zusätzliche Rechte eintragen. Sollten Sie die Zentrale Benutzerverwaltung (ZBV) nutzen, gilt die Zuordnung für alle angeschlossenen Systeme. Existiert der Referenzbenutzer in einem der Systeme nicht, wird die Zuordnung ignoriert. Durch den Einsatz von Referenzbenutzern entstehen allerdings auch Risiken. So können leichter Summationen von Berechtigungen auftreten, da es schwierig ist, den Überblick über die zugeordneten Berechtigungen zu wahren. In SAP NetWeaver AS ABAP 7.0 und höher werden Referenzbenutzer in den Auswertungen der Reports des Benutzerinformationssystems berücksichtigt.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Die Auffassung der Finanzverwaltung dazu ist im BMF-Schreiben vom 16.07.2001 (BStBl. 2001 I) »Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen« (GDPdU) niedergelegt.
Ein SAP Berechtigungskonzept dient der Abbildung von einschlägigen Rechtsnormen und unternehmensinternen Regelungen auf die technischen Schutzmöglichkeiten innerhalb eines SAP Systems.