Ziel eines Berechtigungskonzepts
Berechtigungsfehler durch Debugging ermitteln
Die Vorschlagswerte in der Transaktion SU24 sind zwingende Voraussetzung für die Pflege von PFCG-Rollen, da beim Erstellen von PFCG-Rollen genau auf diese Werte zurückgegriffen wird. Je besser diese Werte gepflegt sind, desto weniger Aufwand entsteht bei der Pflege der PFCG-Rollen (siehe Abbildung nächste Seite). Sie fragen sich sicher, in welchen Fällen eine Anpassung der Vorschlagswerte sinnvoll ist, da diese einen derart großen Einfluss auf die Rollenpflege haben.
Wenn Sie Ihre SAP-Systemlandschaft über die Zentrale Benutzerverwaltung (ZBV) verwalten, müssen Sie den SAP-Hinweis 1663177 sowohl in das ZBV-System als in alle angeschlossenen Tochtersysteme einspielen. Beachten Sie in diesem Fall auch, dass die Standardbenutzergruppe in den Tochtersystemen zugeordnet wird, wenn bei der Anlage des Benutzers aus der ZBV keine Benutzergruppe verteilt wurde. Zusätzlich erhalten Sie in der Transaktion SCUL eine Fehlermeldung, die besagt, dass dem Benutzer (über die ZBV-Zentrale) eine Benutzergruppe zugeordnet werden muss. Dieses Verhalten ist unabhängig von den Einstellungen der Verteilungsparameter für die Benutzergruppe in der Transaktion SCUM. Sollten Sie die Verteilungsparameter für die Benutzergruppe auf Global oder Rückverteilung eingestellt haben, weist das entsprechende Tochtersystem die Änderungen an Benutzern, die im Zentralsystem über keine Benutzergruppe verfügen, ab, und Sie erhalten eine Fehlermeldung in der Transaktion SCUL.
Auswertungen von Berechtigungen und Benutzerstammsätzen
Anmeldung mit Benutzer und Passwort einer anderen Anwendung (z. B. eines ADs oder Portals) In diesem Fall muss die Webanwendung dazu in der Lage sein, eine eindeutige SAP-Benutzer-ID zu den Anmeldedaten zu ermitteln. Sie sollten eine Anwendung wählen, bei der der Benutzer sein Passwort nicht so leicht vergisst.
Wenn Sie die Konfigurationsvalidierung nutzen, empfehlen wir Ihnen trotzdem die gelegentliche Nutzung der AGS Security Services, wie des EarlyWatch Alerts und des SAP Security Optimization Services, die wir in Tipp 93 »AGS Security Services nutzen«, beschreiben. SAP hält die Vorgaben und Empfehlungen in den AGS Security Services aktuell und passt sie an neue Angriffsmethoden und Sicherheitsvorgaben an. Haben Sie im Rahmen eines Security Services neue Sicherheitsaspekte erkannt, können Sie Ihre Zielsysteme entsprechend einstellen und diese Aspekte künftig ebenfalls überwachen.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Erfüllen die Standardobjekte nicht die gewünschten Anforderungen, so kann der Programmierer eigene Berechtigungsobjekte schaffen, die die erforderlichen Berechtigungsfelder enthalten.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Dieser Ansatz erfordert daher eine exakte und vollständige Konfiguration für jede Transaktion, die aufgerufen wird.