Über die Wichtigkeit des Berechtigungskonzept bei der Umstellung auf SAP S/4HANA
Upgradenacharbeiten für Berechtigungsvorschlagswerte in Y-Landschaften durchführen
Die Benutzer Ihrer Webanwendungen sollen Zugriff auf genau die Anwendungen erhalten, die ihrer jeweiligen Geschäftsrolle entsprechen. Mit dem Berechtigungsobjekt S_START können Sie diese Anforderung in den PFCG-Rollen abbilden. Anwendungen auf der Grundlage von SAP-Produkten bieten für den Nutzer unterschiedliche Zugangsmethoden, von denen die Verwendung von SAP GUI mit anwendungsbezogenen SAP-Transaktionen als »klassisch « zu nennen ist. Im Rahmen von Webanwendungen werden die Anwendungsoberflächen hingegen in einem Webbrowser abgebildet. Es sollen dabei nicht nur transaktionale Vorgänge, sondern auch die Anzeige von Ergebnissen aus Datenanalysen oder statische Fakten unterstützt werden. Das Modell der SAP-Transaktionen, bei denen der Zugriff über das Berechtigungsobjekt S_TCODE gesteuert wird, genügt diesen Anforderungen nicht.
TMSADM: Der Benutzer TMSADM dient der Kommunikation zwischen SAP-Systemen im Transportmanagementsystem und wird bei deren Konfiguration automatisch im Mandanten 000 angelegt. TMSADM hat nur die Berechtigungen für den Zugriff auf das gemeinsame Transportverzeichnis, für die Anzeige im Änderungs- und Transportmanagementsystem und die notwendigen RFC-Berechtigungen. Schutzmaßnahmen: Ändern Sie die Passwörter des Benutzers in den einzelnen Mandanten. Dazu gibt es den Report TMS_UPDATE_PWD_OF_TMSADM, den Sie im Mandanten 000 starten müssen. Dies ist nur möglich, wenn Sie über Administratorberechtigungen in allen Systemen der Landschaft verfügen und die Passwortregeln der Systeme kompatibel sind. Nachdem der Report erfolgreich durchlaufen worden ist, haben alle TMSADM-Benutzer der Landschaft im Mandanten 000 und deren Destinationen dasselbe neue Passwort.
Berechtigungswerte mithilfe von Traceauswertungen pflegen
Versucht nun ein Benutzer, einen Bericht auszuführen (z. B. mithilfe der Transaktion KE30) werden die Berechtigungen des Benutzers für dieses Berechtigungsobjekt geprüft. Daher müssen Sie Ihre Berechtigungsrollen entsprechend anpassen. Fehlt dem Benutzer die Berechtigung zum Zugriff auf das Objekt, wird seine Anforderung abgelehnt. Hat er eine entsprechende Berechtigung, wird die Anzeige auf den erlaubten Bereich eingeschränkt. Für alle Merkmale oder Wertfelder, die nicht als Felder des Berechtigungsobjekts definiert wurden, ist der Zugriff weiterhin erlaubt.
Sie können sich die Inhalte der geprüften Berechtigungsfelder anschauen, indem Sie doppelt auf die jeweiligen Variablen klicken. Auf der Registerkarte Variablen 1 werden die Variablen mit den jeweiligen Werten, die für diese Berechtigungsprüfung herangezogen werden, angezeigt. Diese Werte entsprechen den Werten, die Sie auch im Systemtrace für Berechtigungen sehen. Wenn eine Berechtigungsprüfung mit SY-SUBRC = 0 endet, obwohl keine passenden Berechtigungen vorliegen, prüfen Sie, ob die Prüfung lokal über die Transaktionen SU24 oder global über die Transaktion SU25 bzw. AUTH_SWITCH_OBJECTS abgeschaltet wurde.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Die Einstufung ist für die verschiedenen Berechtigungsprüfungen jeweils unterschiedlich.
In der Praxis helfen sich Supportmitarbeiter daher oft damit, den Anwender zu bitten, einen Screenshot ausder Transaktion SU53 zu schicken.