Kundeneigene Anforderungen
Abfrage der Daten aus dem Active Directory
Sie können auf die Berücksichtigung obsoleter Profildaten verzichten, indem Sie zusätzlich die Korrektur aus dem SAP-Hinweis 1819126 einspielen und anschließend den Customizing-Schalter REC_OBSOLETE_AUTHS in der Tabelle PRGN_CUST auf den Wert NO setzen. Diese Korrektur ist auch deshalb wichtig, weil sie Laufzeitprobleme bei der Freigabe von Rollentransporten, resultierend aus der Korrektur in SAP-Hinweis 1614407, behebt. Grundsätzlich sollten Sie die Freigabe von Massentransporten immer im Hintergrund ausführen.
Der Pfad mit der zugeordneten Berechtigungsgruppe DEVL enthält die temporären lokalen Dateien des ABAP-Frontend-Editors der ABAP-Entwicklungsumgebung (Transaktionen SE38, SE80, SE24 usw.). Die beiden Pfade mit der Berechtigungsgruppe ADMN zeigen, wie logisch zusammengehörige Pfade zu einer Berechtigungsprüfung für S_PATH gruppiert werden können. Die beiden Einträge mit der Berechtigungsgruppe FILE zeigen, wie in Systemen mit Anwendungsservern unterschiedlicher Betriebssysteme Pfade für Windows ergänzt werden können. Die Einträge core.sem und coreinfo werden benötigt, um Laufzeitfehler in die Snapshot-Tabelle SNAP zu schreiben. Die Einträge dev_ und gw_ erlauben das Anzeigen von Dateien aus Entwicklertrace und Gateway Log in der Transaktion ST11. Ist Ihnen der Vorschlag im ersten Eintrag der Tabelle zu restriktiv, können Sie die Alternative in der folgenden Tabelle wählen. Dieser Eintrag erzwingt lediglich eine Berechtigungsprüfung auf S_PATH und die Berechtigungsgruppe ALLE; die entsprechende Berechtigung sollten Sie allerdings nur sehr restriktiv vergeben.
Inhalte des Profils SAP_ALL anpassen
Grundsätzlich sollte die Berechtigung SAP_NEW nicht im Produktivsystem vergeben werden. Auf der Registerkarte Profile werden im Benutzerstammsatz die generieten Profile angezeigt, die einem konkreten Benutzer zugeordnet sind. Hier können Sie auch manuell angelegte Berechtigungsprofile aus der Transaktion SU02 zuordnen – auch ohne direkte Rollenzuordnung. Prinzipiell gilt die Empfehlung, den Profilgenerator (Transaktion PFCG) anzuwenden, um Berechtigungsprofile automatisch zu generieren. Besondere Vorsicht gilt, wenn Sie generierte Berechtigungsprofile direkt auf der Registerkarte Profile eintragen, da diese Zuweisungen durch den Abgleich von Benutzerzuordnungen mittels der Transaktion PFUD gelöscht werden, wenn für die Zuweisung kein Eintrag auf der Registerkarte Rollen vorhanden ist. Sie haben bisher wahrscheinlich Benutzern, für die es keine Beschränkungen im SAP-System geben soll, SAP_ALL und SAP_NEW zugewiesen. Worin aber unterscheiden sich diese beiden Profile und wozu sind sie eigentlich notwendig?
Beim Erstellen des Berechtigungskonzepts wird eine Namenskonvention für PFCG-Rollen definiert. Jeder Kunde hat hier eigene Vorlieben bzw. Vorgaben, an die man sich halten muss. Unseren Projekterfahrungen nach, bieten sich einige Namenskonventionen besonders an. Namenskonventionen für PFCG-Rollen können sehr vielfältig ausfallen. Sie haben sicher festgestellt, dass selbst die von SAP ausgelieferten Rollen keiner einheitlichen Namenskonvention entsprechen. So gibt es Rollen, deren Namen mit SAP_ anfangen. Es gibt aber auch Rollen, z. B. für das SRM-System, die mit dem Namensraum /SAPSRM/ beginnen. In diesem Tipp möchten wir Ihnen einige Hinweise und Kriterien mitgeben, die Sie bei der Definition einer Namenskonvention von PFCG-Rollen zurate ziehen können.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
In unserem Beispiel meldet sich der Endanwender in einem SCM-System an, kann von hier aus aber auch ERP-Transaktionen aufrufen.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Weisen Sie nun das reduzierte Berechtigungsprofil SAP_NEW allen Benutzern im Upgradevorbereitungssystem zu, sodass gewährleistet ist, dass alle Benutzer wie gewohnt arbeiten können.