Massenpflege von abgeleiteten Rollen vornehmen
Fazit
Die Prüfung auf die Vergabe des Profils SAP_ALL erfolgt im SOS anders als im EWA: Wird ein Benutzer gefunden, dem SAP_ALL zugewiesen wurde und den Sie nicht in der entsprechenden Whitelist eingetragen haben, wird er trotzdem in den nachfolgenden Berechtigungsprüfungen ausgeblendet. Die Ausgabe der identifizierten Benutzer erfolgt entweder durch eine vollständige Liste oder durch Beispiele konkreter Benutzer. In beiden Fällen können Sie die vollständige Liste in der Transaktion ST14 des SAP Solution Managers herunterladen. Die Zuordnung der Benutzerlisten zu den Berechtigungsprüfungen können Sie über die Check-ID herstellen. Allerdings sollten Sie beachten, dass in diesen Listen die Auswertungen der Whitelists noch nicht enthalten sind.
Achten Sie immer darauf, dass Sie die aktuelle Version des Note Assistants nutzen. Suchen Sie dazu in den Systemempfehlungen nach SAP-Hinweisen zur Komponente BC-UPG-NA. Wir empfehlen Ihnen auch, den Security-Patch-Prozess im Rahmen eines Release- oder Support-Package-Upgrades durchzuführen, um spätere, zusätzliche Tests durch bereits zum Zeitpunkt des Upgrades veröffentlichte Sicherheitshinweise zu vermeiden.
Architektur von Berechtigungskonzepten
In der Transaktion AL08 werden alle angemeldeten Anwender und deren Anwendungsserver angezeigt. Hier sehen Sie in der Spalte Server Name, auf welchem Anwendungsserver der Benutzer angemeldet ist, bei dem das Berechtigungsproblem aufgetreten ist. Wechseln Sie auf diesen Anwendungsserver, indem Sie die Transaktion SM51 aufrufen und doppelt auf den herausgesuchten Anwendungsserver klicken. Führen Sie auf dem nun aktiven Anwendungsserver den Berechtigungstrace wie gewohnt durch, und prüfen Sie die Auswertung.
Ein temporäres Abschalten der Zentralen Benutzerverwaltung wird in der Regel nicht empfohlen. In bestimmten Fällen kann es jedoch notwendig sein. Wir zeigen Ihnen, welche Vor- und Nacharbeiten erforderlich sind, um Dateninkonsistenzen zu vermeiden. In komplexen SAP-Landschaften, in denen die Zentrale Benutzerverwaltung (ZBV) eingesetzt wird, können Fälle eintreten, in denen Sie ein Tochtersystem temporär aus der ZBV entfernen möchten, ohne dieses System löschen oder die ganze ZBV abschalten zu müssen, wenn z. B. kurzfristig Benutzer in einem Tochtersystem angelegt werden sollen.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Es werden alle Objektfelder und deren Werte aufgezeichnet während der Prüfung der Berechtigungsobjekten.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Komplexe Berechtigungsprüfungen können auch für die parametrisierte Verwendung von CALL TRANSACTION hinreichend durchgeführt werden.