Aktuelle Situation prüfen
Wie du Rollen und Berechtigungen im SAP-System analysierst
Sperren und Gültigkeiten des Benutzerkontos erfolgen über den Benutzeradministrator und sind auch für andere Authentifizierungsverfahren gültig. Das heißt, dass eine Anmeldung über SSO für einen ungültigen Benutzer oder einen Benutzer mit Administratorsperre nicht möglich ist. Wir empfehlen Ihnen daher immer, den Zugang zum System über das Setzen der Gültigkeit von Benutzern zu verhindern. Das Setzen von Gültigkeiten bei zugeordneten Rollen verhindert zwar ebenfalls, dass der Benutzer noch Aktionen im System durchführen kann, unterbindet aber nicht generell deren Anmeldung.
Kleine Unternehmen würden theoretisch von einem Berechtigungstool profitieren. Jedoch sind die Tools in vielen Fällen zu kostspielig, sodass das Kosten-Nutzen-Verhältnis ist in der Regel nicht gegeben ist.
Einführung & Best Practices
Prüfen Sie, ob alle mehrfach auftretenden externen Services, die Bereichsstartseiten und logischen Links entsprechen, aus dem Ordner GENERIC_OP_LINKS entfernt wurden. Legen Sie für diesen Ordner eine separate PFCG-Rolle an. Diese PFCG-Rolle könnte alle grundlegenden Berechtigungen enthalten, die ein Anwender in SAP CRM besitzen muss. Dazu gehören auch die Berechtigung für die generischen OP-Links. Sie können diesen Ordner in eine separate PFCG-Rolle transferieren, indem Sie in der neuen PFCG-Rolle unter Menü > Übernahme von Menüs > Aus anderer Rolle > lokal die PFCG-Rolle angeben, in der der Ordner GENERIC_OP_LINKS enthalten ist. Pflegen Sie die PFCG-Rolle nun so, dass nur das Berechtigungsobjekt UIU_COMP aktiv bleibt. Deaktivieren Sie alle weiteren sichtbaren Berechtigungsobjekte. Das sind die Berechtigungsobjekte, die den Zugriff auf Daten erlauben. Diese Berechtigungsobjekte können Sie in der dafür vorkomplettes gesehenen PFCG-Rolle pflegen, die den Arbeitsplatz des Anwenders beschreibt. In der PFCG-Rolle, die den Arbeitsplatz beschreibt, können Sie nun den Ordner GENERIC_OP_LINKS löschen. Wenn Sie die PFCG-Rolle nochmals neu abmischen lassen, werden Sie feststellen, dass viele der nicht notwendigen Berechtigungsobjekte verschwunden sind.
Sie nutzen den Report RSUSR010, und Ihnen werden nicht alle dem Benutzer oder der Rolle zugeordneten Transaktionscodes angezeigt. Wie kann das sein? Mit den verschiedenen Reports des Benutzerinformationssystemss (SUIM) können Sie die Benutzer, Berechtigungen und Profile im SAP-System auswerten. Einer dieser Reports, der Report RSUSR010, zeigt Ihnen alle ausführbaren Transaktionen für einen Benutzer, eine Rolle, ein Profil oder eine Berechtigung an. Anwender des Reports sind häufig unsicher darüber, was dieser Report tatsächlich anzeigt, da die Ergebnisse nicht zwingend mit den berechtigten Transaktionen übereinstimmen. Daher stellen wir im Folgenden klar, welche Daten für diesen Report ausgewertet werden und wie es zu diesen Abweichungen kommen kann.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Da es sich um einen dynamischen Profilparameter handelt, wird dieser beim Durchstarten des Anwendungsservers wieder zurückgesetzt.
Damit ist der Grund, aus dem Passwortregeln nicht für Benutzer vom Typ System bzw. Service gültig waren, weggefallen; daher gelten die Regeln für die Inhalte der Passwörter nun auch für Benutzer dieser Typen.