Die Anatomie der SAP Berechtigung oder Dokumentationen zu SAP Berechtigungsobjekten und Berechtigungsfeldwerten
Nutzungsdaten für die Rollendefinition verwenden
Sie sollten alle Belegarten in denselben Zeitintervallen archivieren; dies gilt besonders für die Archivobjekte US_USER und US_PASS. Üblich ist es, die Änderungsbelege zwischen zwölf und achtzehn Monate aufzubewahren, da dies den Aufbewahrungsfristen für die Revision entspricht. Wollen Sie aus Performancegründen in kürzeren Intervallen archivieren, sollten Sie immer alle Archivobjekte zeitgleich archivieren und die Archivobjektklassen PFCG und IDENTITY in separaten Archiven ablegen. In diesem Fall ist es unter Umständen sinnvoll, die archivierten Änderungsbelege in eine Schattendatenbank zurückzuladen, um sie zur schnelleren Auswertung durch die Revision zur Verfügung zu stellen. Dazu können Sie die folgenden Reports nutzen: RSUSR_LOAD_FROM_ARCH_PROF_AUTH / RSUSR_LOAD_FROM_ARCHIVE. Mit dem Archivobjekt BC_DBLOGS können Sie zusätzlich die Tabellenänderungsprotokolle archivieren.
Das Security Audit Log protokolliert nun den Tabellen- bzw. View-Namen und die geplante Aktivität externer Tabellenzugriffe über RFC-Verbindungen; dafür wurde ein neuer Meldungstyp definiert. Sie finden diese Korrektur und eine Übersicht über die erforderlichen Support Packages in SAP-Hinweis 1539105.
SAP Systeme: User Berechtigungen mit Konzept steuern
Berechtigungen müssen in jedem SAP-System gepflegt werden – eine Aufgabe, die umso schwieriger wird, je komplexer die Systemlandschaften und größer die Benutzerzahlen sind. Gerade in wachsenden Systemlandschaften kann es vorkommen, dass die einmal definierten Konzepte nicht mehr zu den aktuellen Anforderungen passen oder die eingeübten Prozesse in der Rollenund Berechtigungsverwaltung mit der Zeit immer aufwendiger und umständlicher werden.
Mithilfe eigener Berechtigungsobjekte können Sie Berechtigungsprüfungen entwickeln, um Ihre kundeneigenen Anwendungen zu berechtigen oder Standardberechtigungen zu erweitern. Dabei war die Pflege der Berechtigungsobjekte bisher sehr unhandlich. Berechtigungsobjekte können in der Transaktion SU21 angezeigt und neu angelegt werden. Das Anlegen von Berechtigungsobjekten über diese Transaktion war bisher nicht sehr benutzerfreundlich. Wurden Eingaben nicht korrekt vorgenommen, war die Dialogführung für den Anwender mitunter nicht transparent und verwirrend. Dasselbe galt für das Speichern eines Berechtigungsobjekts. Mehrere Pop-up-Fenster weisen hier auf weitere Pflegeaktivitäten hin. Ein anderes Problem ist, dass der Verwendungsnachweis des Berechtigungsobjekts darauf beschränkt ist, Implementierungen des Berechtigungsobjekts zu finden. Berechtigungsobjekte werden allerdings an anderen Stellen, wie z. B. der Vorschlagswertepflege und der Berechtigungspflege, ebenfalls verwendet. Eine weitere Problematik ist die Verwendung von Namensräumen. Für SAPPartner, die Ihre Berechtigungsprüfungen in ihren Namensräumen pflegen möchten, sind die klassischen Namenräume, mit J beginnend, aufgebraucht.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Demgegenüber sollten Sie Transaktionen mit einem hohen Nutzungsgrad und einem großen Benutzerkreis (z. B. mit mehr als zehn Benutzern) sinnvollerweise in einem SAP-Rollenkonzept berücksichtigen.
Mit den neuen Sicherheitsrichtlinien können Sie diese benutzer- und mandantenspezifisch definieren.