Lösungsansätze für effiziente Berechtigungen
Ein kompliziertes Rollenkonstrukt
Der nächste Schritt ist nun die Pflege der Berechtigungswerte. Auch hier können Sie sich die Werte des Berechtigungstrace zunutze machen. Wenn Sie aus dem Rollenmenü auf die Registerkarte Berechtigungen wechseln, werden Startberechtigungen für alle im Rollenmenü enthaltenen Anwendungen generiert und Standardberechtigungen aus den Berechtigungsvorschlägen angezeigt. Sie können diese Vorschlagswerte nun mit den Tracedaten ergänzen, indem Sie in der Button-Leiste auf den Button Trace klicken.
Unabdingbar ist das Gebot, adäquate Berechtigungsprüfungen in jede ABAP-Eigenentwicklung zu implementieren. Hierfür wird der sogenannte AUTHORITY-CHECK genutzt, der die erforderlichen Berechtigungsobjekt-Ausprägungen abfragt und somit nur befugte Benutzer den Code ausführen lässt.
Inaktive Benutzer sperren
Achten Sie darauf, dass die für die Protokollierung vorgesehenen mandantenunabhängigen Tabellen immer protokolliert werden, wenn die Parameter nicht auf OFF gesetzt sind. Zusätzlich zu den hier angeführten Parametern muss auch in der Tabelle selbst der Haken für die Tabellenprotokollierung gesetzt sein; dies erfolgt üblicherweise mithilfe der Transaktion SE13. Die Einstellungen werden in der Entwicklung vorgenommen und dann in die weiteren Systeme transportiert. Im SAP-Standard sind bereits einige Tabellen für die Protokollierung vorgesehen; einen Überblick über diese Tabellen verschafft Ihnen der SAP-Hinweis 112388 (protokollierungspflichtige Tabellen). Die Einstellungen der Tabellen zur Protokollierung können Sie mit dem Report RDDPRCHK bzw. der Transaktion RDDPRCHK_AUDIT im SAP-System auswerten. Die Selektion erfolgt im Startbild des Reports, z. B. über den Tabellennamen oder die Auswahl der Optionen zur Protokollierung.
Grundsätzlich sollte die Berechtigung SAP_NEW nicht im Produktivsystem vergeben werden. Auf der Registerkarte Profile werden im Benutzerstammsatz die generieten Profile angezeigt, die einem konkreten Benutzer zugeordnet sind. Hier können Sie auch manuell angelegte Berechtigungsprofile aus der Transaktion SU02 zuordnen – auch ohne direkte Rollenzuordnung. Prinzipiell gilt die Empfehlung, den Profilgenerator (Transaktion PFCG) anzuwenden, um Berechtigungsprofile automatisch zu generieren. Besondere Vorsicht gilt, wenn Sie generierte Berechtigungsprofile direkt auf der Registerkarte Profile eintragen, da diese Zuweisungen durch den Abgleich von Benutzerzuordnungen mittels der Transaktion PFUD gelöscht werden, wenn für die Zuweisung kein Eintrag auf der Registerkarte Rollen vorhanden ist. Sie haben bisher wahrscheinlich Benutzern, für die es keine Beschränkungen im SAP-System geben soll, SAP_ALL und SAP_NEW zugewiesen. Worin aber unterscheiden sich diese beiden Profile und wozu sind sie eigentlich notwendig?
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Auf diesem Wege können Sie sicherstellen, dass abwärtskompatible Passwörter für diese Benutzer weiterhin verwendet werden.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Der Aufruf Ihrer Implementierung des BAdIs erfolgt als letzter Schritt des Speichervorgangs von Benutzerdaten.