Berechtigungsprüfung
Fehlende Definition eines internen Kontroll-Systems (IKS)
Analog zur Pflege der Berechtigungsvorschlagswerte für SAP-Transaktionen mittels der Transaktionen SU22 und SU24 ist die Pflege von Vorschlagswerten für Webanwendungen ratsam. Damit einem Nutzer eine passende Berechtigung für einen betriebswirtschaftlichen Funktionsumfang in der Webanwendung zugewiesen werden kann, müssen die Softwareentwickler in der Transaktion SU22 alle für diese Anwendung benötigten Berechtigungsobjekte an die entsprechende Web-Dynpro-Anwendung anbinden, also nicht nur S_START. Quelle für die benötigten Berechtigungsobjekte ist in der Regel ein Developer- oder Berechtigungstrace.
In den einzelnen Modulen werden unterschiedliche Organisationsfelder verwendet. Da es eine Vielzahl von Schnittstellen zwischen den Modulen gibt, müssen die Hauptorganisationsfelder der Module miteinander in Beziehung gesetzt werden. Es gibt jedoch auch Organisationsfelder, die ausschließlich für das jeweilige Modul relevant sind. Alle Objektfelder, die als Organisationseinheiten genutzt werden, sind in der Tabelle USORG aufgelistet. Diese Tabelle können Sie über die Transaktion SE16 aufrufen. Alternativ zeigt die Wertehilfe des Feldes VARBL im Selektionsbild der Tabelle AGR_1252 zu den jeweiligen Organisationsfeldern auch die entsprechende Bezeichnung mit an.
Berechtigungskonzept des AS ABAP
Der Hintergrund des massenhaften Vorhandenseins von Berechtigungsobjekten in einer PFCG-Rolle, nachdem ein Rollenmenü erstellt worden ist, ist in der Regel die Masse an generischen OP-Links, die eigentlich für die CRMBusiness- Rolle gar nicht notwendig sind. Durch das Vorhandensein von Vorschlagswerten aus der Transaktion SU24 werden die zu den jeweiligen externen Services gehörigen Berechtigungsvorschlagswerte in die PFCG-Rolle geladen, was zur Folge hat, dass dort zu viele unnötige Berechtigungsobjekte untergebracht werden. Mit dem Ausklammern des Ordners GENERIC_OP_LINKS müssen Sie sich in Ihrer PFCG-Rolle nur um die externen Services und deren Berechtigungsobjekte kümmern, die in der CRM-Business-Rolle konfiguriert wurden. Damit ein Anwender über alle notwendigen Berechtigungen verfügt, weisen Sie diesem nun die Grundrolle mit den Berechtigungen zu den generischen OP-Links und die eigentliche Rolle zu, die den Arbeitsplatz des Anwenders beschreibt.
Neben SAP Buchempfehlungen zu SAP Berechtigungen kann ich auch die Bücher von Espresso Tutorials wie "SAP-Berechtigungen für Anwender und Einsteiger" von Andreas Prieß * oder auch das Videotutorial "SAP Berechtigungen Grundlagen - Techniken und Best Practices für mehr Sicherheit im SAP" von Tobias Harmes empfehlen. Beide sind, neben anderen Medien, auch in der Espresso Tutorials Flatrate enthalten, die ich auch ausführlicher unter SAP Know How vorgestellt habe.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
So müssen Sie Ihre PFCG-Rollen nicht jeweils für die Entwicklungs-, Test- und Produktionsumgebungen anpassen.
Für einen Systembenutzer sind immer Mehrfachanmeldungen möglich, und die Regeln für die Änderung von Passwörtern (siehe auch die Erläuterung unter »Servicebenutzer«) greifen nicht.