Anmeldesperren sicher einrichten
Transaktion PFUD regelmäßig einplanen
SAP Berechtigungen sind ein sicherheitskritisches und damit ein immens wichtiges Thema in Unternehmen. Mit ihrer Hilfe werden nicht nur die Zugriffsmöglichkeiten der Nutzer im SAP-System gesteuert, sondern auch die externe und interne Sicherheit der Unternehmensdaten hängt direkt von den eingestellten Berechtigungen ab.
Sie können auf die Berücksichtigung obsoleter Profildaten verzichten, indem Sie zusätzlich die Korrektur aus dem SAP-Hinweis 1819126 einspielen und anschließend den Customizing-Schalter REC_OBSOLETE_AUTHS in der Tabelle PRGN_CUST auf den Wert NO setzen. Diese Korrektur ist auch deshalb wichtig, weil sie Laufzeitprobleme bei der Freigabe von Rollentransporten, resultierend aus der Korrektur in SAP-Hinweis 1614407, behebt. Grundsätzlich sollten Sie die Freigabe von Massentransporten immer im Hintergrund ausführen.
Manuelle Berechtigungen
Definieren Sie dafür zuerst, welche Informationen überprüft werden sollen. Prüfen Sie in der Transaktion SU20, ob die benötigten Felder eventuell schon als Berechtigungsfelder existieren. Möchten Sie kundeneigene Felder überprüfen, müssen Sie in der Transaktion SU20 eigene Berechtigungsfelder anlegen. Achten Sie hier insbesondere auf die bereitgestellten (F4)-Hilfen. Bei der Definition von kundeneigenen Berechtigungsfeldern vergeben Sie im Feld Feldname einen Namen, der in Ihrem Kundennamensraum liegt, und weisen das entsprechende Datenelement sowie, falls gewünscht, einen Tabellennamen für eine Wertehilfe zu. Im nächsten Schritt erstellen Sie ein eigenes Berechtigungsobjekt und weisen Ihre Berechtigungsfelder sowie, wenn notwendig, Standardberechtigungsfelder zu. Wenn Sie das Feld ACTVT für die Berechtigungsprüfung der Aktivität verwenden, müssen Sie über den Button Zulässige Aktivitäten die Aktivitäten auswählen, die Sie über den Quellcode Ihres Programmes abprüfen. Empfehlungen zu den Namenskonventionen für Berechtigungsobjekte erhalten Sie im SAP-Hinweis 395083.
Für noch umfangreichere Operationen auf Jobs muss eine Berechtigung zum Objekt S_BTCH_ADM vorhanden sein, in der das Feld BTCADMIN (Kennung für den Batchadministrator) den Wert ‚Y‘ hat. Dies ermöglicht mandantenübergreifend alle Operationen auf beliebigen Jobs. S_BTCH_ADM mit Wert ‚Y‘ beinhaltet somit auch die Objekte S_BTCH_JOB Aktion * und S_BTCH_NAM und S_BTCH_NA1 mit User/Programm = *. Daher ist dieses eine sehr kritische Berechtigung, weil sie einen Identitätswechsel ermöglicht. Mit den in Hinweis 1702113 genannten Änderungen lässt sich über das Objekt S_BTCH_ADM die Berechtigungsvergabe genauer einschränken.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Dies liegt darin begründet, dass bei einer Anmeldung am Java-System nur dann das Datum der letzten Anmeldung im ABAP-System aktualisiert wird, wenn eine passwortbasierte Anmeldung erfolgt ist.
In diesem Fall brauchen Sie ebenfalls ein Archivierungskonzept für andere zentrale Änderungsbelegdaten.