Fazit und Ausblick
Einführung & Best Practices
Suchen Sie sich zuerst das Berechtigungsobjekt aus, das Sie pflegen möchten. Für jedes Berechtigungsobjekt kann es mehrere Berechtigungen geben. Anschließend laden Sie die Tracedaten, indem Sie auf Trace auswerten klicken. Es öffnet sich wieder ein neues Fenster, in dem Sie die Auswertungskriterien für den Trace festlegen und den Filter für Anwendungen entweder nur auf Anwendungen im Menü oder auf alle Anwendungen beschränken können. Ist der Trace einmal ausgewertet, werden Ihnen alle geprüften Berechtigungswerte für das ausgewählte Berechtigungsobjekt angezeigt. Mit dem Button Übernehmen können Sie hier nun die Werte zeilenweise, spaltenweise oder feldweise übernehmen. Im linken Teil des Fensters sehen Sie nun, ergänzend zu den bereits sichtbaren Vorschlagswerten, die übernommenen Berechtigungswerte. Nach der Bestätigung dieser Eingaben gelangen Sie zurück in die Detailsicht Ihrer Rolle. Sie sehen hier die Ergänzungen der Berechtigungswerte für Ihr Berechtigungsobjekt.
Schon bei der Definition der Entwicklungsrichtlinie sollten Sie darauf achten, dass der Zugriffssicherheit das entsprechende Augenmerk geschenkt wird. Über kundeneigene Programme oder Anpassungen im SAP Code Inspector lässt sich sicherstellen, dass alle im Unternehmen beschäftigten Entwickler diese Richtlinien entsprechend einhalten. Die Prüfung, ob die Entwicklungsrichtlinien eingehalten wurden, sollte zwingender Bestandteil der Qualitätssicherung sein, bevor die Programme produktiv genutzt werden. Die Transaktionen SE38 und SA38 sollten im produktiven System nicht vergeben werden, und kundeneigene Programme sollten in eigene Transaktionscodes eingebunden werden. Anschließend werden Berechtigungen nur für diese Transaktionen eingerichtet.
Herausforderungen im Berechtigungsmanagement
Stellen Sie sicher, dass Referenzbenutzern nur minimale Berechtigungen zugeordnet werden, um zu weitreichende Berechtigungen der Dialogbenutzer zu vermeiden. Es sollte keine Referenzbenutzer mit Berechtigungen geben, die ähnlich umfangreich sind wie das Profil SAP_ALL.
Die BAdIs BADI_IDENTITY_CHECK, BADI_IDENTITY_UPDATE und BADI_IDENTITY_SU01_CREATE wurden mit dem Release SAP NetWeaver 7.31 eingeführt. Details zu den relevanten Support Packages finden Sie im SAP-Hinweis 1796501. Für diese BAdIs gibt es Implementierungsbeispiele, und sie sind Teil des Erweiterungsspots SUID_IDENTITY. Mit dem BAdI BADI_IDENTITY_CHECK können Sie zusätzliche Prüfungen in der Pflege der Benutzerstammdaten einführen, z. B. ob bestimmte Felder in der Transaktion SU01 gepflegt wurden. Mit dem BAdI BADI_IDENTITY_UPDATE können Sie beim Ändern von Benutzerdaten verschiedene Aktionen veranlassen (siehe Tipp 98, »E-Mails verschlüsseln«). Mit dem BAdI BADI_IDENTITY_SU01_CREATE können Sie bei der Anlage von Benutzern einzelne Felder der Transaktion SU01 mit Werten aus einer anderen Datenquelle vorbelegen. Dieses BAdI deckt die von uns beschriebene Anforderung ab; daher erläutern wir im Folgenden die Implementierung dieses BAdIs. Verwenden Sie hierzu die Transaktion SE18, in der Sie auch die Implementierungsbeispielklasse einsehen können. Für das BAdI BADI_IDENTITY_SU01_CREATE müssen Sie zum Interface IF_BADI_SU01_CREATE die Methode CREATE implementieren. Das BAdI wird nur beim Start der Transaktion SU01 aufgerufen.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Mit den Releases SAP NetWeaver 7.03 und 7.30 wurden für Web-Dynpro- ABAP-Anwendungen (sowie für weitere Web-Dynpro-ABAP-Funktionen, siehe SAP-Hinweis 1413011) die Prüfung der Berechtigung zum Start derartiger Anwendungen eingeführt.
Dabei wird allerdings nicht das Konzept der Organisationsmatrix verwendet, sondern Sie müssen die neuen Organisationswerte direkt beim Aufruf des Reports hinterlegen.