Systemeinstellungen
S_RFC-Berechtigungen mithilfe von Nutzungsdaten definieren
Zwischen SAP Berechtigungsberatern und ABAP Entwicklern besteht seit langer Zeit Uneinigkeit darüber, wie Berechtigungsobjektausprägungen im Coding umzusetzen sind. Dabei gibt es zwei Positionen: Zum einen wird von Consultants geraten, niemals auf das Signalwort DUMMY, die Konstante space oder das Literal ‘ ‘ zu testen. Diese Tests prüfen nur oberflächlich auf die Existenz eines Berechtigungsobjektes und reagieren nicht auf Einstellungen in der Feldausprägung im Profil der Rollen. Außerdem wird dann das Literal ‚ ‘ berechtigt, da es in der Transaktion STAUTHTRACE angezeigt wird. Zum anderen gibt es Situationen, in denen die Entwicklung diese oberflächlichen Tests nutzt, um dem User Zeit und der Maschine Ressourcen zu ersparen. Stellt das Programm frühzeitig fest, dass der User nicht die nötigten Objekte im Benutzerpuffer hat, kann es vor dem ersten SELECT abbrechen und eine entsprechende Fehlermeldung ausgeben. Beide Positionen enthalten einen wahren Kern. Schauen wir uns die Auswirkungen verschiedener Programmierungen an einem vereinfachten Beispiel an. Die Rolle(n) besitzen dabei ausschließlich das Berechtigungsobjekt S_DEVELOP mit der Feldausprägung DEVCLASS „Z*“.
Berechtigungen für das Datenbanksystem (System Privileges): System Privileges sind SQL-Berechtigungen, die administrative Aktionen auf der gesamten Datenbank steuern. Derartige Aktionen sind z. B. das Anlegen eines (Datenbank-)schemas (CREATE SCHEMA), das Anlegen und Ändern von Rollen (ROLE ADMIN), das Anlegen und Löschen eines Benutzers (USER ADMIN) oder das Ausführen eines Datenbank-Backups (BACKUP ADMIN).
Rollenpflege im Betrieb
Die vier wichtigen Konzepte der SAP Security erfordern erst einmal einen gewissen Aufwand. Sie müssen nicht nur abgestimmt, ausformuliert und bereitgestellt, sondern eben auch fortlaufend aktualisiert und vor allem aktiv gelebt werden. Dennoch ist der Return of Investment groß, denn sie wappnen für alle Fälle, liefern Revisionssicherheit, außerdem ein hohes Schutzpotenzial fürs SAP-System und somit auch für das Unternehmen selbst.
Die Berechtigungsprüfungen werden als Teil des Systemtrace in Transaktion ST01 protokolliert. Er zeichnet alle Berechtigungsprüfungen samt der geprüften Berechtigungswerte für einen bestimmten Anwendungsserver auf und gibt mandantenabhängig an, ob die Berechtigungsprüfungen erfolgreich waren oder nicht. Die Darstellung des Trace ist nun verbessert worden (siehe auch SAP-Hinweis 1373111).
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
In integrierten Datenflüssen in SAP ERP prüft die sendende Applikation in der Regel nicht die Berechtigungsobjekte der empfangenden Applikation.
Berechtigungstechnisch war dies jedoch bisher für FI nur mit Zusatzprogrammierungen realisierbar.