Vorteile von Berechtigungskonzepten
Risikoanalyse mit dem Report »Kritische Berechtigungen« durchführen
Nachdem die funktionale Spezifikation abgenommen worden ist, kann man mit der Umsetzung begingen: Erstellen Sie dafür zuerst Ihr kundeneigenes Berechtigungsobjekt und implementieren Sie die dafür vorgesehene Berechtigungsprüfung. Im nächsten Schritt müssen Sie die Vorschlagswerte in der Transaktion SU24 für die jeweilige kundeneigene Transaktion pflegen. Rufen Sie hierzu Ihre eigens erstellte Transaktion auf, und weisen Sie die notwendigen Berechtigungsobjekte entweder manuell über den Button Objekt zu, oder verwenden Sie den Berechtigungs- oder Systemtrace zur Vergabe der Berechtigungen (siehe Tipp 40, »Den Berechtigungstrace zur Ermittlung von Vorschlagswerten für kundeneigene Berechtigungen verwenden«). Dabei müssen Sie die im kundeneigenen Coding verwendeten Berechtigungsobjekte hinterlegen. Pro Berechtigungsobjekt können Sie Feldwerte pflegen, die als Vorschlagswerte in den jeweiligen Rollen auftauchen. Nun müssen alle betroffenen Rollen angepasst werden. Ist der Abmischmodus für die Transaktion PFCG auf Ein gestellt (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«), werden alle PFCG-Rollen, die der jeweilige Transaktion im Rollenmenü zugewiesen werden, erkannt und können über die Transaktion SUPC neu abgemischt werden. Befindet sich die kundeneigene Transaktion noch nicht in den PFCG-Rollen, wird sie an dieser Stelle ergänzt, und die jeweilige PFCG-Rolle wird neu abgemischt.
Möchten Sie verstehen, wie eine Berechtigungsprüfung im Code durchlaufen wird, können Sie den Debugger nutzen, um sich Schritt für durch die Berechtigungsprüfung zu bewegen. Um eigene Berechtigungsprüfungen zu implementieren, kann es hilfreich sein sich anzusehen, wie solche Prüfungen im SAP-Standard umgesetzt wurden. In diesem Tipp zeigen wir Ihnen, wie Sie sich den Quellcode von Berechtigungsprüfungen mithilfe des Debuggers im Programm anschauen können bzw. wie Sie an die Codestellen gelangen, an denen die Berechtigungsprüfungen implementiert sind.
Benutzergruppe als Pflichtfeld definierbar
Systemtrace - Transaktion: ST01 oder STAUTHTRACE - Außerdem gibt es für eine Auswertung noch einen Systemtrace. Anders als der Berechtigungstrace ist ein Systemtrace hauptsächlich für kurze Zeiträume ausgelegt. Meine bevorzuge Variante den Systemtrace aufzurufen ist über die Transaktion STAUTHTRACE. Hier kann man direkt die Auswertung filtern und erhält eine bessere Auswertungsdarstellung. Über die einzelnen Buttons kann man direkt den Trace ein- oder ausschalten und das Ergebnis des Trace anzeigen lassen.
Es gibt allerdings auch die Situation, dass Berechtigungsfelder zu Organisationsebenen erhoben werden. Sind diese Berechtigungsfelder schon in den PFCG-Rollen mit Werten gefüllt worden, müssen Sie diese Organisationsebenen nach der Kategorisierung der Berechtigungsfelder als Organisationsebenen erneut befüllen. Dabei hilft Ihnen der Report PFCG_ORGFIELD_ROLES, der alle Rollen mit den Organisationsebenenfeldern, d. h. mit den in den Organisationsebenenfeldern gepflegten Berechtigungsfeldern, abgleicht.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Hier entscheiden Sie auch, ob und wie die Tabellen möglicherweise im produktiven System gepflegt werden können.
Dabei können Sie die Ereignisse abhängig von deren Auditklasse oder Kategorisierung aufzeichnen lassen oder sie direkt über die Detaileinstellung selektieren.