Fazit und Ausblick
Eine Berechtigung für externe Services von SAP CRM vergeben
Diese erweiterte Funktionalität der Transaktion SU53 wird über einen Patch ausgeliefert. Im SAP-Hinweis 1671117 finden Sie weiterführende Informationen zu den erforderlichen Support Packages sowie technische Hintergründe. Nicht erfolgreiche Berechtigungsprüfungen werden nun in einen Ringpuffer des Shared Memorys des Anwendungsservers geschrieben. Damit können Sie nun fehlgeschlagene Berechtigungsprüfungen auch in Web-Dynpro-Anwendungen oder anderen Benutzeroberflächen anzeigen, was bisher nicht möglich war. Abhängig von der Größe des Ringpuffers und der Systemauslastung können je Benutzer bis zu 100 fehlgeschlagene Berechtigungsprüfungen für die letzten drei Stunden angezeigt werden. Die Größe des Ringpuffers wird aus der Anzahl der definierten Workprozesse berechnet. Standardmäßig können 100 Berechtigungsprüfungen je Workprozess gespeichert werden. Diese Größe können Sie mithilfe des Profilparameters auth/su53_buffer_entries anpassen.
Ein sorgloser Umgang mit den Berechtigungen bei sensiblen Mitarbeiterdaten kann ganz schön in die Hose gehen. Verhindern Sie einen unkontrollierten und weitreichenden Reporting-Zugriff auf Ihre HCM-Daten, indem Sie das Berechtigungsobjekt P_ABAP richtig nutzen. In vielen Unternehmen ist der korrekte Einsatz von P_ABAP nicht bekannt. Daher kommt es häufig zu falschen Ausprägungen, die im schlimmsten Fall unkontrollierten Reporting-Zugriff auf alle Daten der logischen Datenbank PNPCE (bzw. PNP) erlauben. Auf diesem Weg können Sie also Ihre vorher mühsam in einem Berechtigungskonzept definierten Zugriffsbeschränkungen wieder aushebeln. Daher gilt es, den Einsatz von P_ABAP im Einzelfall zu prüfen und die vorhandenen Einschränkungsmöglichkeiten zu nutzen. Im Folgenden beschreiben wir die Logik, die hinter diesem Berechtigungsobjekt steckt, und welche Ausprägungen Sie unbedingt vermeiden sollten.
Unzufriedenheit und unklarer Bedarf im Prozess
Sind in der Transaktion PFCG keine Buttons zum Kopieren und Einfügen vorhanden, können Sie diese einfach einspielen. Im Dialogfenster zur Pflege von Feldwerten zu Berechtigungsobjekten in Transaktion PFCG (Rollenpflege) werden nur sieben Zeilen angezeigt. Bisher war es nicht möglich, mehr als diese sieben Zeilen auf einmal aus der Zwischenablage einzufügen. Gerade dies kann im Rahmen der Berechtigungspflege aber häufig notwendig sein, z. B. wenn Sie Einträge aus anderen Rollen verwenden möchten. Lesen Sie hier, wie Sie die Buttons zum Kopieren und Einfügen im Dialogfenster zur Pflege von Feldwerten zu den Berechtigungsobjekten einspielen und nutzen.
Zum Schluss sieht die Prüflogik eine Prüfung auf der Zeilenebene innerhalb einer Tabelle vor, falls Sie den Zugriff auf die Tabelleninhalte in Abhängigkeit von einer organisatorischen Zuordnung einschränken möchten. Soll ein Anwender z. B. nur die Daten einer Tabelle einsehen können, die das Land betreffen, in dem sich sein Arbeitsstandort befindet, müssen Sie dies entsprechend konfigurieren. Hierzu definieren und aktivieren Sie organisationsrelevante Felder als Organisationskriterium (siehe Tipp 62, »Berechtigungen zur Tabellenbearbeitung organisatorisch einschränken«). Um einen Überblick darüber zu behalten, welche Benutzer auf welche Tabellen zugreifen können, führen Sie den Report SUSR_TABLES_WITH_AUTH aus. Dieser Report gibt darüber Auskunft, welcher Benutzer oder welche Einzelrolle über die Berechtigungsobjekte S_TABU_DIS oder S_TABU_NAM verfügen. In der Ergebnisliste sind alle berechtigten Tabellen sowie deren Berechtigungen bzw. Berechtigungswerte aufgeführt.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
So ist es möglich, mithilfe der Berechtigungstools z.B. den Aufwand für Rollenerstellung und Berechtigungsmanagement durch konkrete Zuordnung der SAP Systemrollen drastisch zu reduzieren.
Mit der Anlage des ABAP-Benutzers wird automatisch ein Benutzer in der Datenbank angelegt und eine Zuordnung zwischen ABAP-Benutzer und Datenbankbenutzer gespeichert.