Benutzerverwaltung
Systemsicherheit
Der Aufruf Ihrer Implementierung des BAdIs erfolgt als letzter Schritt des Speichervorgangs von Benutzerdaten. Dies gilt für alle Transaktionen oder Funktionsbausteine, die Änderungen an den Benutzerdaten vornehmen. Daher wird das BAdI auch bei der Pflege durch das BAPI BAPI_USER_CHANGE aufgerufen. Dieses BAPI nutzen Sie, wenn Sie einen Self-Service für das Zurücksetzen von Passwörtern implementieren, wie wir es in Tipp 52, »Passwörter mittels Self-Service zurücksetzen«, beschreiben. So ermöglichen Sie den verschlüsselten E-Mail-Versand von Initialpasswörtern im Rahmen eines Self-Services.
Strukturelle Berechtigungen arbeiten mit dem SAP HCM Organisationsmanagement und definieren, wer gesehen werden darf, aber nicht was gesehen werden darf. Dies geschieht auf Basis von Auswertungswegen im Org-Baum. Strukturelle Berechtigungen sind deshalb nur gemeinsam mit allgemeinen Berechtigungen einzusetzen. Genau wie die allgemeinen Berechtigungen in SAP ECC HR ermöglichen sie einen geregelten Zugriff auf Daten in zeitabhängigen Strukturen. Über ein Berechtigungsprofil läuft die Ermittlung ab. Zudem wird definiert, wie die Suche auf dem Org-Baum erfolgt.
Nutzungsdaten für die Rollendefinition verwenden
Den Benutzern sind zu viele Profile zugeordnet? Mithilfe von Referenzbenutzern können Sie dieses Problem umgehen. Im SAP-System wird die Anzahl der Zuordnungen von Profilen zu Benutzern durch eine technische Einschränkung begrenzt. Dies wird schon seit Längerem nicht mehr durch den Kernel verursacht, sondern liegt in der Struktur der verwendeten Datenbanktabellen begründet. Die Tabelle USR04 enthält die Profilzuordnungen zu den Benutzern. Dabei sind pro Benutzer 3.748 Zeichen im Feld PROFS für die Liste der Profilnamen vorgesehen. Profilnamen haben eine maximale Länge von 12 Zeichen; daher können im Feld PROFS maximal 312 Profile pro Benutzer eingetragen werden. Sollten Sie ein Rollenkonzept einsetzen, in dem die Berechtigungen für Teilprozesse jeweils in einer Rolle abgelegt werden, kann dies dazu führen, dass einige Ihrer Benutzer die maximale Anzahl der zugeordneten Profile überschreiten. Wir zeigen Ihnen daher im Folgenden, wie Sie dieses Problem durch den Einsatz von Referenzbenutzern umgehen.
Das Feld RESPAREA hat einen Pflegedialog, der die Eingabe von Verantwortungsbereichen erlaubt. Der Pflegedialog wird als Baustein aufgerufen und bietet je nach Berechtigungsobjekt unterschiedliche Registerkarten für die Eingabe. Wenn Sie nun das Feld RESPAREA zur Organisationsebene erklären, müssen Sie zuvor die Anzeige der Registerkarten für die Eingabe im Customizing festlegen. Dazu müssen Sie in der mandantenunabhängigen Tabelle KBEROBJ mithilfe der Transaktion SE16 einen Eintrag hinzufügen. In diesem Eintrag lassen Sie das erste Feld OBJECT leer. Das Feld CURRENTOBJ muss gepflegt werden, da es die Registerkarte definiert, die beim Aufruf der Pflege angezeigt wird, also die Default-Registerkarte. Ist dieses Feld leer, kann kein Startbild ermittelt werden, und es kommt zu Fehlern. Die folgenden Felder bestimmen die Inhalte der verschiedenen Registerkarten und sollten daher auch gepflegt werden, damit Sie RESPAREA als Organisationsebene nutzen können. Dies sind die Felder OBJECT1 bis OBJECT7 für die erste bis siebte Registerkarte. In diesen sieben Feldern definieren Sie, welche Werte Sie auf den Registerkarten eingeben können.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Zur Einspielung dieser Erweiterung benötigen Sie einen Kernel- Patch.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Da oftmals identische Kennwörter für verschiedene Systeme verwendet werden, ist das ermittelte Kennwort somit evtl. auch für nachgelagerte Systeme nutzbar.