Das SAP-Berechtigungskonzept
Pflegestatus
Dazu haben Sie die Möglichkeit, mit dem Berechtigungsobjekt P_ABAP die üblichen Berechtigungsprüfungen zu übersteuern. Dies gilt für alle Berichte, die auf die logische Datenbank PNPCE (bzw. PNP) zugreifen. Bei einer Berechtigung für P_ABAP finden die üblichen Prüfungen auf Berechtigungsobjekte, wie z. B. P_ORGIN oder P_ORGINCON, nicht mehr statt oder werden vereinfacht. Dies trifft auch für strukturelle Berechtigungen zu. Ob die Berechtigungsprüfungen vereinfacht oder komplett ausgeschaltet werden, wird über das Feld COARS des Objekts gesteuert. Wollen Sie alle Prüfungen ausschalten, setzen Sie den Wert COARS = 2. Bei diesem Wert gibt es keine Einschränkung für die angezeigten Daten im berechtigten Bericht. Wenn Sie für das Reporting erweiterte Berechtigungen erlauben möchten, diese aber nicht uneingeschränkt sein sollen, müssen Sie den Wert COARS = 1 wählen. In diesem Fall prägen Sie zusätzlich das Berechtigungsobjekt P_ORGIN (bzw. P_ORGINCON, P_ORGXX und P_ORGXXCON) aus. Allerdings müssen Sie darauf achten, nicht alle Felder der Objekte auszuprägen, da ansonsten auch der direkte Zugriff möglich ist. Prägen Sie daher immer zwei Versionen des Berechtigungsobjekts P_ORGIN aus, einmal mit den funktionalen Berechtigungen (Berechtigungslevel, Infotypen und Subtypen) und einmal mit den organisatorischen Abgrenzungen (Personalbereich, Mitarbeitergruppe, Mitarbeiterkreis und Organisationsschlüssel). Zusätzlich brauchen Sie dann natürlich noch eine Ausprägung von P_ABAP für die relevanten Berichte mit dem Wert COARS = 1.
Beim Zugriff auf Tabellen oder Views wird mit dem Berechtigungsobjekt S_TABU_DIS die Berechtigung für eine bestimmte Tabellenberechtigungsgruppe in der Berechtigungsprüfung erteilt. Beachten Sie in diesem Zusammenhang auch Tipp 73 »Berechtigungsobjekte für die Tabellenbearbeitung verwenden« und das dort vorgestellte Berechtigungsobjekt S_TABU_NAM. Tabellenberechtigungsgruppen legen Sie mithilfe der Transaktion SE54 oder über den Pflegedialog V_TBRG_54 an. Sie fallen unter das mandantenabhängige Customizing und können bis SAP NetWeaver 7.31 SP 2 lediglich vier Zeichen beinhalten. Zum Anlegen einer Tabellenberechtigungsgruppe rufen Sie die Transaktion SE54 auf und wählen dort im Bereich Bearbeiten Tabelle/View die Option Berechtigungsgruppen aus. Über den Button Anlegen/Ändern gelangen Sie zur Übersicht der bereits vorhandenen Tabellenberechtigungsgruppen. Auf diesem Weg können Sie z. B. auch die Bezeichnung einer Tabellenberechtigungsgruppe ändern. In der Übersicht der Tabellenberechtigungsgruppen klicken Sie auf den Button Neue Einträge, um eine neue Tabellenberechtigungsgruppe anzulegen. Vergeben Sie einen Namen für Ihre Berechtigungsgruppe und eine sprechende Bezeichnung. Nachdem Sie die neuen Einträge gespeichert haben, ist Ihre kundeneigene Tabellenberechtigungsgruppe angelegt.
SAP-Berechtigungen – Eine gemeinsame Perspektive von Entwicklern und Beratern
Berechtigungen sind das maßgeblich steuernde Instrument zur Abbildung eines Risikomanagements und zur Einhaltung der Compliance. Mit ihnen werden alle Vorgänge in den Systemen gesteuert. Eine Trennung von Funktionen wird zum größten Teil ausschließlich mit Berechtigungen umgesetzt. Daher ist nicht nur die einmalige Einrichtung der Berechtigungen relevant, sondern die ständige Überwachung und Kontrolle der Berechtigungsvergabe. Hierfür sind verschiedene Tools am Markt verfügbar. Hilfreich ist dabei ein Re-Zertifizierungsprozess, der die Fachbereiche einbindet und die Revalidierung der Berechtigungen optimiert.
Wie mache ich einen Berechtigungstrace auf einen Benutzer (STAUTHTRACE)? Mit dem Berechtigungstrace kannst du aufzeichnen, welche Berechtigungsobjekte von einem Benutzer verwendet werden. Dies hilft bspw. bei der Erstellung geeigneter Rollen: - Rufe die Transaktion STAUTHTRACE auf - Gib den gewünschten Benutzer an und starte den Trace - Lasse den Benutzer seine Transaktion aufrufen - Stoppe den Trace (Wichtig, nicht vergessen!) - Werte die Ergebnisse aus.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Wenn Sie in einem System mit mehreren Anwendungsservern den Systemtrace für Berechtigungen verwenden möchten, müssen Sie beachten, dass der Trace immer nur Daten je Anwendungsserver protokollieren und auswerten kann.
Ein kundeneigenes Programm, das kundeneigenes Customizing verwendet, ist schnell geschrieben.