Berechtigungskonzepte – Vorteile und Architektur
Unser Angebot
Ihnen ist aufgefallen, dass sich der Pflegestatus der Berechtigungen in PFCG-Rollen ändert, wenn Sie Berechtigungsobjekte pflegen, ändern oder manuell hinzufügen? Erfahren Sie, was es mit den Berechtigungsstatus auf sich hat. Beim Löschen oder Hinzufügen von Transaktionen im Rollenmenü von PFCG-Rollen haben die jeweiligen Berechtigungen in der PFCG-Rolle den Pflegestatus Standard. Ergänzen oder ändern Sie die Berechtigungen, ändert sich der Pflegestatus entweder auf Gepflegt oder auf Verändert. Den Pflegestatus Manuell haben Sie vielleicht auch schon einmal gesehen. Welches sind die Hintergründe für diese Pflegestatus, und was sagen sie eigentlich aus?
Wenn Sie den Profilparameter dynamisch setzen, werden keine Benutzer vom Anwendungsserver abgemeldet. Wartungsarbeiten können Sie damit rechtzeitig vorbereiten. Der Wert 2 im Profilparameter unterbindet nicht die Anmeldung mit dem Notfallbenutzer SAP*, sofern dieser nicht als Benutzerstammsatz angelegt ist und der Profilparameter login/no_automatic_user_sapstar auf den Wert 0 gesetzt ist. Außerdem können Sie den Wert des Parameters auf der Betriebssystemebene wieder ändern. Details zum Benutzer SAP* finden Sie in Tipp 91, »Mit den Standardbenutzern und deren Initialpasswörtern umgehen«.
Anmeldesperren sicher einrichten
Zusätzlich können Sie im SOS auch kundeneigene Berechtigungsprüfungen definieren und dabei auch Kombinationen von Berechtigungsobjekten und deren Werten festlegen. Sie können bis zu 1.000 kundeneigene Berechtigungsprüfungen im Check-ID-Namensraum 9000 bis 9999 anlegen. Auch für diese Berechtigungsprüfungen können Sie wieder Whitelists definieren, die entweder für einzelne oder alle kundeneigenen Berechtigungsprüfungen gelten. Die Konfiguration ist im SAP-Hinweis 837490 beschrieben.
Sie möchten die Einstellungen für den Session Manager, den Profilgenerator und die Benutzerpflege an Ihre Anforderungen anpassen? Nutzen Sie dazu die Parameter in den Customizing-Tabellen SSM_CID, SSM_CUST, SSM_COL, PRGN_CUST und USR_CUST. Wir zeigen Ihnen hier, welche Einstellungsmöglichkeiten es für den Session Manager, den Profilgenerator oder die Benutzerpflege gibt. Wie lässt sich das Benutzermenü aus verschiedenen Rollen zusammenfassen oder ganz abschalten? Wie lassen sich die generierten Passwörter an Ihre Anforderungen anpassen? Wie können Sie den Benutzerstammabgleich nach Rollenzuordnungen über die Transaktion PFCG automatisiert durchführen? Und wie können Sie unterbinden, dass Zuordnungen von Benutzern zu Rollen transportiert werden können? Wir zeigen Ihnen, wie Sie diese Einstellungen vornehmen.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Zum Lesen oder Ändern von Daten muss ein Benutzer sowohl das Privileg haben, eine bestimmte Aktion ausführen zu dürfen, als auch das Privileg, auf das Objekt zugreifen zu können.
Hierfür wird der sogenannte AUTHORITY-CHECK genutzt, der die erforderlichen Berechtigungsobjekt-Ausprägungen abfragt und somit nur befugte Benutzer den Code ausführen lässt.