Kritikalität
Bereits enthaltene Berechtigungsobjekte
Entwickler- und Customizing-Berechtigungen stellen in produktiven SAP-Systemen ein großes Gefahrenpotential dar. Hier sind die Berechtigungen sehr restriktiv zu vergeben, z.B. nur an Notfallbenutzer. Dasselbe betrifft auch RFC-Verbindungen von einem Entwicklungssystem zu produktiven Systemen. Solche Verbindungen sind nur in sehr eingeschränkten Umfang zu nutzen.
Sie möchten den Zugriff auf die Dateien des Anwendungsservers absichern? Erfahren Sie, welche Möglichkeiten Ihnen die Berechtigungsobjekte S_DATASET und S_PATH bieten, welche Einschränkungen bestehen und welche Fallstricke lauern. Der Zugriff auf die Dateien des Anwendungsservers ist durch im Kernel eingebaute Berechtigungsprüfungen geschützt, ähnlich wie der Start von Transaktionen und RFC-Funktionsbausteinen. Die von SAP ausgelieferten Berechtigungsvorschläge zum Berechtigungsobjekt S_DATASET bieten Ihnen keine große Hilfestellung, und zu S_PATH gibt es praktisch keine Informationen, da Sie dieses Berechtigungsobjekt erst durch das Customizing der Tabelle SPTH aktivieren müssen. Häufig werden daher die Berechtigungen zu S_DATASET zu großzügig ausgeprägt, die Tabelle SPTH kaum gepflegt und S_PATH gar nicht benutzt. Wir zeigen Ihnen hier, wie diese Berechtigungen funktionieren und wie Sie sie sinnvoll einschränken können.
Den Berechtigungspuffer prüfen und auffrischen
Stellen Sie sicher, dass bei der Zuordnung von Referenzbenutzern Berechtigungsprüfungen durchgeführt werden. Die Prüfungen erfolgen auf die Berechtigungen zur Zuordnung der dem Referenzbenutzer zugeordneten Rollen und Profile. Diese Berechtigungsprüfungen sind ebenfalls eine Neuerung, die mit dem SAP-Hinweis 513694 ergänzt wird.
Wenn ein Benutzer keine Druckberechtigung für ein Ausgabegerät hat (Berechtigungsobjekt S_SPO_DEV), wird ein eventuell gesetztes Kennzeichen für den Sofortdruck wieder zurückgenommen, d. h., zur Laufzeit des Job- Steps würde ein dabei erstellter Spoolauftrag nicht sofort gedruckt. Werden beim Einplanen eines Steps Archivparameter übergeben, wird eine Prüfung auf das Objekt S_WFAR_PRI ausgeführt. Hat der Step-Benutzer keine passende Berechtigung, wird eine Fehlermeldung ausgegeben.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Dieser Report gibt darüber Auskunft, welcher Benutzer oder welche Einzelrolle über die Berechtigungsobjekte S_TABU_DIS oder S_TABU_NAM verfügen.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Wählen Sie nun das entsprechende ERP-System und anschließend die entsprechende PFCG-Rolle aus SAP ERP aus.