Fehlgeschlagene Berechtigungsprüfungen in der Transaktion SU53 zentral einsehen
IKS für die Geschäftsprozesse in SAP-Systemen
Nach erfolgreicher Implementierung Ihrer Berechtigungsprüfung muss das neue Berechtigungsobjekt für Ihre Anwendung in der Transaktion SU24 gepflegt werden. Wird Ihre Lösung in andere Systemlandschaften verteilt, erfolgt die Pflege der Berechtigungsvorschläge in der Transaktion SU22. Mit der Berechtigungsvorschlagswertpflege gehen Sie außerdem auf Nummer sicher, dass das neue Berechtigungsobjekt bei einer Rollenanlage nicht vergessen wird, da es nun beim Aufruf der Anwendung über das Rollenmenü automatisch in die PFCG-Rolle geladen wird. Im letzten Schritt kann der Berechtigungsadministrator die PFCG-Rolle erstellen bzw. muss die bestehenden PFCG-Rollen neu abmischen.
Nachdem Sie die Daten für die Webseite ermittelt haben, müssen Sie nun das Initialpasswort generieren und per E-Mail verschicken sowie gegebenenfalls den Benutzer entsperren. Dafür gibt es ebenfalls unterschiedliche Lösungen – wir beschreiben eine mögliche Vorgehensweise. Die Generierung eines Passworts können Sie über den Importparameter GENERATE_PWD des BAPIs BAPI_USER_CHANGE veranlassen. Das generierte Passwort wird dann als Initialpasswort gesetzt und muss bei der nächsten Anmeldung durch den Benutzer geändert werden. Außerdem müssen Sie den Importparameter PASSWORDX setzen, um eine Änderung am Passwort anzuzeigen. Über den Exportparameter GENERATED_PASSWORD wird das generierte Passwort zurückgegeben. Dies ist erforderlich, wenn Sie das BAPI BAPI_USER_CHANGE aus einem zentralen System (z. B. aus der ZBV) aufrufen und die betreffende E-Mail aus diesem System verschicken wollen. Sie sollten dieses Passwort niemals speichern, sondern es direkt in Ihrer Anwendung in eine E-Mail einbinden. Anschließend verschicken Sie diese E-Mail an den Benutzer, dessen E-Mail-Adresse Sie entweder direkt im SAP-System ermitteln (Parameter ADDSMTP von BAPI_USER_GET_DETAIL) oder im Rahmen Ihrer Webanwendung (z. B. aus dem AD). Auch wenn Sie die E-Mail-Adresse im AD ermitteln, raten wir Ihnen davon ab, die E-Mail auch von dort aus zu versenden. Initiieren Sie den Versand lieber im Rahmen Ihres zentralen SAPSystems, um zu vermeiden dass das Passwort unnötig übertragen wird. Außerdem raten wir Ihnen dringend, die E-Mails mit den Initialpasswörtern verschlüsselt zu verschicken. Dazu muss die Implementierung Ihres Self-Services bei der Erstellung der E-Mail das Kennzeichen für die Verschlüsselung setzen. Details zur Verschlüsselung von E-Mails und einen alternativen Versand des Initialpassworts direkt aus dem betroffenen SAP-System beschreiben wir in Tipp 98, »E-Mails verschlüsseln«.
BERECHTIGUNGEN FÜR BATCH-VERARBEITUNG IM SAP NETWEAVER UND S/4HANA-UMFELD
Abhängig von der Konfiguration von Stammdaten und Prozessen können verschiedene Berechtigungsprüfungen relevant sein, sodass eine Anpassung der Vorschlagswerte sinnvoll ist. Sind kundeneigene Anwendungen in Form von Z-Transaktionen, eigenen Web-Dynpro-Anwendungen oder externen Services erstellt worden, müssen für diese Anwendungen Vorschlagswerte gepflegt werden, um keine manuellen Berechtigungen in den PFCG-Rollen zu pflegen. Hierbei müssen Sie darauf achten, dass kundeneigene Anwendungen nicht in allen Fällen in der Transaktion SU24 sichtbar sind. Dies ist z. B. der Fall bei TADIR-Services und externen Services. Um zu erfahren, wie Sie diese Services für die Vorschlagswertpflege verfügbar machen, lesen Sie Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«.
Aus dem Ergebnis der statistischen Nutzungsdaten können Sie ablesen, welche Transaktionen (ENTRY_ID) wie häufig (COUNTER) und von wie vielen verschiedenen Benutzern verwendet wurden. Aus dieser Information lassen sich verschiedene Anhaltspunkte ableiten. Transaktionen, die z. B. von einem Benutzer innerhalb von zwölf Monaten nur einmal verwendet wurden, könnten auf einen sehr privilegierten Benutzer oder aber auf den versehentlichen Aufruf einer Transaktion hindeuten, für die ein Benutzer Berechtigungen hat. Die künftige Zuordnung solcher Transaktionen im SAP-Rollenkonzept sollte dann kritisch hinterfragt werden. Demgegenüber sollten Sie Transaktionen mit einem hohen Nutzungsgrad und einem großen Benutzerkreis (z. B. mit mehr als zehn Benutzern) sinnvollerweise in einem SAP-Rollenkonzept berücksichtigen.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Wenn Ihnen auffällt, dass Vorschlagswerte fehlen, die Sie für notwendig halten und die vom Trace aufgezeichnet wurden, können Sie die Vorschlagswerte auf Ja setzen, indem Sie die entsprechende Zeile, die Spalte oder das Feld im rechten Bereich markieren und auf den Button Übernehmen klicken.
Weil es kaum etwas Langweiligeres gibt, schleichen sich spätestens nach einer Stunde die ersten Fehlerchen ein.