Anforderungen an ein Berechtigungskonzept umsetzen
Kontextabhängige Berechtigungen
In erster Linie sind rechtliche Grundlagen zu nennen und auf gesetzeskritische Berechtigungen konkret hinzuweisen, die nicht (bzw. allenfalls an den Notfallbenutzer) vergeben werden dürfen. Ein Beispiel ist die Berechtigung “Debugging mit Replace“, zu der das Objekt S_DEVELOP mit den Werten ACTVT = 02 und OBJTYPE = DEBUG legitimiert und worüber sich Daten per Hauptspeicheränderung manipulieren lassen. Das verstieße jedoch gegen § 239 HGB, das sogenannte „Radierverbot“.
Single Sign-on (SSO): Diese Lösung ist sinnvoll, wenn Sie SSO bisher noch nicht für Ihre SAPSysteme im Einsatz haben oder nicht alle SAP-Systeme in die SSO-Lösung eingebunden sind. In solchen Fällen müssen Sie die Webanwendung in einem System implementieren, das die Anmeldungen per SSO unterstützt, z. B. die Zentrale Benutzerverwaltung (ZBV), das SAP Identity Management (ID Management) oder ein Active Directory (AD).
Berechtigungen nach einem Upgrade anpassen
Legen Sie ein bestimmtes Kürzel oder Zeichen fest, um zu kennzeichnen, ob Ihre Rolle über kritische Zugriffe verfügt, sodass für solche Rollen gesonderte Zuweisungs- bzw. Genehmigungsregeln beachtet werden können. Definieren Sie hier, was »kritisch« für Ihr Projekt bedeutet. Wollen Sie nur Berechtigungen kennzeichnen, die für den Betrieb des SAP-Systems kritisch sind, oder auch geschäftskritische Prozesse? Definieren Sie ebenfalls, welche Konsequenz eine kritische Rolle für die Zuweisung zum Benutzer hat.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Basis.
Berechtigungsprofile werden im Standard (seit Release 4.6C) mit den Rollen transportiert. Wünschen Sie dies nicht, müssen Sie den Datenexport im Quellsystem durch den Steuereintrag PROFILE_TRANSPORT = NO unterbinden. Anschließend müssen die Profile vor dem Abgleich der Benutzerstämme im Zielsystem durch eine Massengenerierung erzeugt werden. Dies kann mittels Transaktion SUPC erfolgen.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Laden Sie die Rolle nochmals neu in die Transaktion PFCG, wenn die Anwendung bereits in Rollen berechtigt wurde.
Um die vielen Informationen zum Thema SAP - und auch anderen - in einer Wissensdatenbank zu speichern, eignet sich Scribble Papers.
SAP liefert vorgefertigte Rollen aus, die eindeutig umgrenzte Berechtigungen zu den jeweiligen Aufgabenbereichen der Mitarbeiter enthalten.