Welche Vorteile haben SAP Berechtigungen?
Rollen und Berechtigungen in SAP SuccessFactors wachsen oft organisch und werden unübersichtlich
Man kann mit der System-Trace-Funktion (Transaktion ST01) die Berechtigungsprüfungen in allen Modi aufzeichnen, wenn Trace und zu verfolgende Transaktion auf dem gleichen Anwendungsserver laufen. Es werden alle Objektfelder und deren Werte aufgezeichnet während der Prüfung der Berechtigungsobjekten.
Zur Pflege von Vorschlagswerten verwenden Sie die Transaktion SU24. Hier können Sie für alle Arten von Anwendungen, wie z. B. SAP-GUI-Transaktionen, RFC-Bausteinen oder Web-Dynpro-Anwendungen die Vorschlagswerte anzeigen und anpassen. Eine Möglichkeit der Pflege von Vorschlagswerten ist die Zuhilfenahme des Systemtrace, der nach Einspielen des im SAP-Hinweis 1631929 benannten Support Package sowie der Korrekturanleitung mit der Transaktion SU24 verknüpft ist. Das heißt, dass Sie aus der Transaktion SU24 heraus den Systemtrace starten, Tracedaten sammeln und diese Daten bei der Pflege direkt verwenden.
Fehleranalyse bei Berechtigungen (Teil 1)
Der Pfad mit der zugeordneten Berechtigungsgruppe DEVL enthält die temporären lokalen Dateien des ABAP-Frontend-Editors der ABAP-Entwicklungsumgebung (Transaktionen SE38, SE80, SE24 usw.). Die beiden Pfade mit der Berechtigungsgruppe ADMN zeigen, wie logisch zusammengehörige Pfade zu einer Berechtigungsprüfung für S_PATH gruppiert werden können. Die beiden Einträge mit der Berechtigungsgruppe FILE zeigen, wie in Systemen mit Anwendungsservern unterschiedlicher Betriebssysteme Pfade für Windows ergänzt werden können. Die Einträge core.sem und coreinfo werden benötigt, um Laufzeitfehler in die Snapshot-Tabelle SNAP zu schreiben. Die Einträge dev_ und gw_ erlauben das Anzeigen von Dateien aus Entwicklertrace und Gateway Log in der Transaktion ST11. Ist Ihnen der Vorschlag im ersten Eintrag der Tabelle zu restriktiv, können Sie die Alternative in der folgenden Tabelle wählen. Dieser Eintrag erzwingt lediglich eine Berechtigungsprüfung auf S_PATH und die Berechtigungsgruppe ALLE; die entsprechende Berechtigung sollten Sie allerdings nur sehr restriktiv vergeben.
Das Konzept für Eigenentwicklungen ist für jede Firma obligatorisch, in der eigene Software geschrieben wird. Es nennt Vorgaben bspw. zu Aufbau, Namensgebung und Dokumentation der Programmkomponenten, insbesondere aber auch zum Umgang mit sicherheitskritischen Aspekten. Dabei sollte die Formulierung nicht zu allgemein gehalten werden, sondern explizit auf die Besonderheiten der Programmierung in SAP eingehen.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Das heißt, dass, abhängig von Ihrem Basisrelease, entweder die neuen Hash-Algorithmen bei der Speicherung der Passwörter nicht verwendet werden, oder es werden zusätzliche veraltete Hash-Werte der Passwörter gespeichert.
Folgende Aktionen unterliegen Berechtigungsprüfungen, die noch vor dem Start eines Programms oder der Tabellenpflege stattfinden und von SAP-Anwendungen nicht umgangen werden können: Start von Transaktionen (Berechtigungsobjekt S_TCODE) - Start von Web-Dynpro-Anwendungen (Berechtigungsobjekt S_START) - Start von Reports (Berechtigungsobjekt S_PROGRAM).