Berechtigungen mit dem Pflegestatus Verändert oder Manuell
Manuell gepflegte Organisationsebenen in Rollen zurücksetzen
Der Zugriff auf diese Daten, ist kritisch, da über Tools die Hashwerte evtl. entschlüsselt werden können und somit eine unautorisierte Anmeldung an das SAP-System möglich ist. Da oftmals identische Kennwörter für verschiedene Systeme verwendet werden, ist das ermittelte Kennwort somit evtl. auch für nachgelagerte Systeme nutzbar. Die aktuellen bzw. ehemaligen Hashwerte der Kennwörter werden in den Tabellen USR02, USH02, USRPWDHISTORY, USH02_ARC_TMP, VUSER001 und VUSR02_PWD vorgehalten. Auf diese Tabellen kann entweder über klassische Tabellenzugriffs-Transaktionen wie z.B. SE16 oder aber über Datenbankadministrartions-Transaktionen wie DBACOCKPIT zugegriffen werden. Die benötigten Berechtigungen für Tabellenzugriffe über Datenbankwerkzeuge sind abhängig von der jeweiligen Systemkonfiguration und sollten ggf. über einen Berechtigungs-Trace (Transaktion STAUTHTRACE) verifiziert werden.
Berechtigungstrace - Transaktion: STUSOBTRACE - Mit der Transaktion STUSOBTRACE wertet man den Berechtigungstrace im SAP-System aus. Hierbei handelt es sich um einen Trace, der über einen längeren Zeitraum in mehreren Mandanten und benutzerunabhängig die Berechtigungsdaten sammelt und in einer Datenbank (Tabelle USOB_AUTHVALTRC) ablegt.
Den Zeitstempel in der Transaktion SU25 verwenden
Wenn der Systemtrace Berechtigungsdaten für dieses Berechtigungsobjekt aufgezeichnet hat, werden diese im rechten Bereich des Fensters angezeigt. Im linken Bereich sehen Sie die bereits vorhandenen Vorschlagswerte. Wenn Ihnen auffällt, dass Vorschlagswerte fehlen, die Sie für notwendig halten und die vom Trace aufgezeichnet wurden, können Sie die Vorschlagswerte auf Ja setzen, indem Sie die entsprechende Zeile, die Spalte oder das Feld im rechten Bereich markieren und auf den Button Übernehmen klicken. Es steht Ihnen frei, noch manuelle Anpassungen an den Feldwerten vorzunehmen. Bestätigen Sie anschließend die Pflege, und Ihre Änderungen sind für dieses Berechtigungsobjekt gespeichert. Gehen Sie genauso für alle weiteren Berechtigungsobjekte vor.
Ein weiterer wichtiger Faktor, der in einem Berechtigungskonzept berücksichtigt werden sollte, besteht darin, eine einheitliche Namenskonvention zu verwenden, weil einerseits vieles nach der Erstbenennung nicht mehr änderbar ist und andererseits so die Suchbarkeit im SAP System sichergestellt wird. Zusätzlich sollten die voreingestellten Berechtigungsrollen des SAP System niemals überschrieben oder gelöscht werden, sondern lediglich Kopien davon erstellt werden, welche dann beliebig angepasst werden können.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Zusätzlich zu den hier angeführten Parametern muss auch in der Tabelle selbst der Haken für die Tabellenprotokollierung gesetzt sein; dies erfolgt üblicherweise mithilfe der Transaktion SE13.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Dazu zeichnen Sie in einem ersten Schritt Anwendungen anhand ihrer Berechtigungsprüfungen auf und können diese anschließend in Ihr Rollenmenü übernehmen.