Architektur von Berechtigungskonzepten
Nach fehlenden Berechtigungen tracen
Mit der Einführung der Sicherheitsrichtlinien ist es nun möglich, für Benutzer vom Typ System oder Service eigene Sicherheitsrichtlinien zu definieren. Auf diesem Wege können Sie sicherstellen, dass abwärtskompatible Passwörter für diese Benutzer weiterhin verwendet werden. Damit ist der Grund, aus dem Passwortregeln nicht für Benutzer vom Typ System bzw. Service gültig waren, weggefallen; daher gelten die Regeln für die Inhalte der Passwörter nun auch für Benutzer dieser Typen. Regeln für die Änderung von Passwörtern sind weiterhin nicht für Benutzer vom Typ System oder Service gültig. Wenn Sie in Ihrem System Sicherheitsrichtlinien einsetzen, können Sie sich mithilfe des Reports RSUSR_SECPOL_USAGE einen Überblick über die Zuordnung von Sicherheitsrichtlinien zu Benutzern verschaffen. Diesen Report finden Sie im Benutzerinformationssystem (Transaktion SUIM). Zusätzlich wurde in den Reports des Benutzerinformationssystems die Selektion nach Benutzern mit ausgewählten Sicherheitsrichtlinien ergänzt. Diese Änderung wurde über ein Support Package bereitgestellt; Details hierzu finden Sie im SAP-Hinweis 1611173.
Die Berechtigungsprüfung auf der Ebene des Funktionsbausteins können Sie nutzen, indem Sie im Berechtigungsobjekt S_RFC im Feld RFC_TYPE (Typ des zu schützenden RFC-Objekts) den Wert FUNC (Funktionsbaustein) eintragen. Wollen Sie weiterhin Funktionsgruppen berechtigen, geben Sie hier den Wert FUGR an. Abhängig von der Ausprägung des Feldes RFC_TYPE geben Sie dann im Feld RFC_NAME (Name des zu schützenden RFC-Objekts) den Namen des Funktionsbausteins oder der Funktionsgruppe an. Diese Erweiterung der Prüfung wird durch die Korrektur im SAP-Hinweis 931251 ausgeliefert.
Kontextabhängige Berechtigungen
Eine Voraussetzung für die indirekte Zuordnung von PFCG-Rollen ist ein gepflegtes Organisationsmodell. Dieses kann einer Linienorganisation entsprechen, die aus Organisationseinheiten besteht, denen Planstellen zugeordnet sind. Veranschaulichen Sie sich die Mitarbeiterstruktur des Unternehmens oder der Abteilung, für die Sie die Rollen zuordnen sollen, anhand eines Organigramms. Ordnen Sie den Planstellen die Personen zu, denen ein Benutzer als Attribut zuwiesen ist. Darüber hinaus können Sie noch weitere Objekte aus dem HR-Organisationsmanagement einbeziehen, wie z. B. die Stellen, die die Planstelle beschreiben, und darüber Rollen zuordnen.
Auch die Standardbenutzer wie z.B. SAP* oder DDIC sollten gemäß dem Berechtigungskonzept bzw. den Empfehlungen von SAP korrekt implementiert sein. Eine wichtige Vorbereitungshandlung ist hierbei zu überprüfen, ob für sämtliche Standardbenutzer die Kennwörter geändert wurden.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Möchten Sie nun PFCG-Rollen indirekt Nutzern über das Organisationsmanagement zuordnen, müssen Sie dafür Auswertungswege verwenden.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Das Anlegen von Berechtigungsobjekten über diese Transaktion war bisher nicht sehr benutzerfreundlich.