Risiko: historisch gewachsenen Berechtigungen
Den Vorschlagswerten externe Services aus SAP CRM hinzufügen
Die Anzeige der ausführbaren Transaktionen kann sich von den Transaktionen, für die der Benutzer Berechtigungen hat, unterscheiden, weil der Report RSUSR010 nur die tatsächlich ausführbaren Transaktionen anzeigt. Zu deren Ausführung ist nicht nur die Startberechtigung für die Transaktion über das Berechtigungsobjekt S_TCODE notwendig, sondern es müssen auch die folgenden Voraussetzungen vorliegen: Für bestimmte Transaktionen gibt es zusätzliche Berechtigungsprüfungen, die noch vor dem Start der Transaktion ausgeführt werden. Diese Berechtigungsobjekte sind dann zusätzlich in der Transaktion SE93 eingetragen (Tabelle TSTCA). Dies können z. B. Abfragen zu den Berechtigungsobjekten P_TCODE, Q_TCODE oder S_TABU_DIS sein. Der Transaktionscode muss Gültigkeit haben (d. h. in der Tabelle TSTC eingetragen sein) und darf nicht durch den Systemadministrator gesperrt sein (in der Transaktion SM01).
Wenn Sie möchten, dass Ihre Eigenentwicklungen, genau wie der Standard, Ihren Sicherheitsanforderungen entsprechen, müssen Sie den kundeneigenen Tabellen Tabellenberechtigungsgruppen zuordnen. Kundeneigene Tabellen, oder auch SAP-Standardtabellen, die Sie besonders schützen möchten, gehören in separate, gegebenenfalls kundeneigene Tabellenberechtigungsgruppen. Sollen für die Systemadministration oder bestimmte Anwendungen umfangreiche Berechtigungen erteilt werden, erfolgt dies mit dem Berechtigungsobjekt S_TABU_DIS für die Tabellenberechtigungsgruppe. Da vielen Standardtabellen keine Tabellenberechtigungsgruppe zugeordnet ist und diese damit automatisch in der Tabellenberechtigungsgruppe &NC& landen, sollten Sie den Zugriff auf diese Tabellenberechtigungsgruppe einschränken. Bestimmte Tabellen wie T000 (Mandanten) befinden sich z. B. in einer großen Tabellenberechtigungsgruppe (SS: RS: Steuerung SAP); daher kann man den Zugriff über eine eigene Tabellenberechtigungsgruppe besser einschränken. Auch kundeneigene Tabellen sollten Sie immer einer Tabellenberechtigungsgruppe zuordnen, da ihnen ansonsten ebenfalls die Tabellenberechtigungsgruppe &NC& zugeordnet wird. Im Folgenden erklären wir Ihnen daher, wie Sie Tabellenberechtigungsgruppen anlegen und Tabellen zuordnen können.
Lösungsansätze für effiziente Berechtigungen
Wie mache ich einen Berechtigungstrace auf einen Benutzer (STAUTHTRACE)? Mit dem Berechtigungstrace kannst du aufzeichnen, welche Berechtigungsobjekte von einem Benutzer verwendet werden. Dies hilft bspw. bei der Erstellung geeigneter Rollen: - Rufe die Transaktion STAUTHTRACE auf - Gib den gewünschten Benutzer an und starte den Trace - Lasse den Benutzer seine Transaktion aufrufen - Stoppe den Trace (Wichtig, nicht vergessen!) - Werte die Ergebnisse aus.
Über diese Berechtigungen kann unabhängig von den eigentlichen Entwicklerberechtigungen beliebiger Quellcode ausgeführt und somit eine beliebige Aktion im System ausgeführt werden. Diese Berechtigung sollte nur an einen Notfallbenutzer vergeben werden.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Im unteren Teil können Sie die Verteilungsparameter auswählen, an deren Änderung Sie interessiert sind.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Wenn Sie Berechtigungen und Profile manuell pflegen möchten, müssen Sie alle SAP-Berechtigungskomponenten im Detail kennen.