ACCESS CONTROL | BERECHTIGUNGSMANAGEMENT FÜR SAP®
Anzahl der möglichen Profile über Referenzbenutzer erweitern
Die Anwendungen (Transaktionen, Web-Dynpro-Anwendungen, RFC-Bausteine oder Webservices) werden über ihre Startberechtigungsprüfungen (S_TCODE, S_START, S_RFC, S_SERVICE) erkannt und können in das Rollenmenü Ihrer Rolle übernommen werden. Wechseln Sie in Ihrer Rolle auf die Registerkarte Menü, und importieren Sie diese Anwendungen, indem Sie auf Übernahme von Menüs klicken und hier Import aus Trace wählen. Es öffnet sich nun ein neues Fenster. Hier können Sie den Trace auswerten und sich im rechten Fenster alle erkannten Anwendungen anzeigen lassen. Klicken Sie dazu auf den Button Trace auswerten, und wählen Sie hier Systemtrace (ST01) > Lokal. In einem neuen Fenster Systemtrace können Sie die Auswertungskriterien für den Trace festlegen, wie z. B. den Benutzer über das Feld Trace nur für Benutzer oder den Zeitraum, über den aufgezeichnet werden soll. Klicken Sie dann auf Auswerten.
Die Vorschlagswerte in der Transaktion SU24 sind zwingende Voraussetzung für die Pflege von PFCG-Rollen, da beim Erstellen von PFCG-Rollen genau auf diese Werte zurückgegriffen wird. Je besser diese Werte gepflegt sind, desto weniger Aufwand entsteht bei der Pflege der PFCG-Rollen (siehe Abbildung nächste Seite). Sie fragen sich sicher, in welchen Fällen eine Anpassung der Vorschlagswerte sinnvoll ist, da diese einen derart großen Einfluss auf die Rollenpflege haben.
Wildwuchs mit dem Systemlastmonitor verhindern
Zur Pflege von Vorschlagswerten verwenden Sie die Transaktion SU24. Hier können Sie für alle Arten von Anwendungen, wie z. B. SAP-GUI-Transaktionen, RFC-Bausteinen oder Web-Dynpro-Anwendungen die Vorschlagswerte anzeigen und anpassen. Eine Möglichkeit der Pflege von Vorschlagswerten ist die Zuhilfenahme des Systemtrace, der nach Einspielen des im SAP-Hinweis 1631929 benannten Support Package sowie der Korrekturanleitung mit der Transaktion SU24 verknüpft ist. Das heißt, dass Sie aus der Transaktion SU24 heraus den Systemtrace starten, Tracedaten sammeln und diese Daten bei der Pflege direkt verwenden.
Kommen wir heute mal zur Fehleranalyse bei Berechtigungen. Das beste, was einem dabei passieren kann, ist der Fehler der Art: „Ich habe keine Berechtigung das und das auszuführen!“ (FALL1). Schlechter ist schon der Fall, dass jemand zuviele Berechtigungen hat, also der Art: „User xy soll diese Berechtigung nicht mehr haben“ (FALL2). Wie geht man da vor? Kommen wir zunächst mal zum Fall 1 Dieser Fall, dass also jemand keine Berechtigung für etwas hat, unterstützt das System vortrefflich! Das Codewort ist SU53! Falls eine Transaktion auf einen Berechtigungsfehler trifft, dann wird dieser Fehler in einen Speicherbereich geschrieben, den man sich anzeigen lassen kann. Dazu gibt es einmal die Transaktion SU53 oder die Menüauswahl „System/Hilfsmittel/Anzeige Berechtigungsprüfung“. Mit dieser Funktion wird vom System eine Information ausgeben, in der gezeigt wird, welche Berechtigungsobjekte dem Benutzer fehlen.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Dieser Hinweis gibt Auskunft über Korrekturempfehlungen für bestimmte SAP-Basis-Versionen sowie Empfehlungen für weiterführende Hinweise, die im Anhang aufgeführt sind.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Schutzmaßnahmen: Sperren Sie den Benutzer EARLYWATCH, und schalten Sie ihn nur frei, wenn er durch den SAP-Support angefragt wird.