Kundeneigene Berechtigungen
SAP-BERECHTIGUNGEN: DIE 7 WICHTIGSTEN REPORTS
Zwischen SAP Berechtigungsberatern und ABAP Entwicklern besteht seit langer Zeit Uneinigkeit darüber, wie Berechtigungsobjektausprägungen im Coding umzusetzen sind. Dabei gibt es zwei Positionen: Zum einen wird von Consultants geraten, niemals auf das Signalwort DUMMY, die Konstante space oder das Literal ‘ ‘ zu testen. Diese Tests prüfen nur oberflächlich auf die Existenz eines Berechtigungsobjektes und reagieren nicht auf Einstellungen in der Feldausprägung im Profil der Rollen. Außerdem wird dann das Literal ‚ ‘ berechtigt, da es in der Transaktion STAUTHTRACE angezeigt wird. Zum anderen gibt es Situationen, in denen die Entwicklung diese oberflächlichen Tests nutzt, um dem User Zeit und der Maschine Ressourcen zu ersparen. Stellt das Programm frühzeitig fest, dass der User nicht die nötigten Objekte im Benutzerpuffer hat, kann es vor dem ersten SELECT abbrechen und eine entsprechende Fehlermeldung ausgeben. Beide Positionen enthalten einen wahren Kern. Schauen wir uns die Auswirkungen verschiedener Programmierungen an einem vereinfachten Beispiel an. Die Rolle(n) besitzen dabei ausschließlich das Berechtigungsobjekt S_DEVELOP mit der Feldausprägung DEVCLASS „Z*“.
Anmeldung mit Benutzer und Passwort einer anderen Anwendung (z. B. eines ADs oder Portals) In diesem Fall muss die Webanwendung dazu in der Lage sein, eine eindeutige SAP-Benutzer-ID zu den Anmeldedaten zu ermitteln. Sie sollten eine Anwendung wählen, bei der der Benutzer sein Passwort nicht so leicht vergisst.
Berechtigungsprüfungen für Belege in FI erweitern
Zwei gleiche Berechtigungen, die die erste Bedingung für den Pflegestatus erfüllen, werden ebenfalls zusammengefasst, sobald sich alle Werte der beiden Berechtigungen in genau einem Feld unterscheiden oder wenn eine Berechtigung mit all ihren Feldern in der anderen Berechtigung enthalten ist. Gibt es jedoch in einer Berechtigung offene Berechtigungsfelder, werden diese nicht zusammengefasst, außer wenn alle Berechtigungsfelder in den Berechtigungswerten identisch sind.
Anschließend sollten Sie die neueste Version der Hash-Algorithmen aktivieren, indem Sie den Profilparameter login/password_downwards_compatibility auf den Wert 0 setzen. Dies ist erforderlich, da SAP-Systeme standardmäßig die Abwärtskompatibilität beibehalten. Das heißt, dass, abhängig von Ihrem Basisrelease, entweder die neuen Hash-Algorithmen bei der Speicherung der Passwörter nicht verwendet werden, oder es werden zusätzliche veraltete Hash-Werte der Passwörter gespeichert. Anschließend sollten Sie prüfen, ob es noch veraltete Hash-Werte für Passwörter in Ihrem System gibt und diese gegebenenfalls löschen. Nutzen Sie dazu den Report CLEANUP_PASSWORD_HASH_VALUES.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Sie müssen das Berechtigungsobjekt S_TABU_NAM in Ihr bestehendes Berechtigungskonzept integrieren? In diesem Tipp zeigen wir Ihnen, welche Schritte dazu notwendig sind – von der Pflege der Vorschlagswerte bis hin zum Überblick über berechtigte Tabellen.
Darauf aufbauend ist es möglich, automatische Prüfungen zu entwickeln, die im Hintergrund ablaufen und regelmäßig kontrollieren, ob durch Änderungen an den Berechtigungen kritische Lücken im HR-Bereich entstanden sind.