Exkurs Besondernheit bei Berechtigungen für FIORI Apps unter S/4HANA
Die Anatomie der SAP Berechtigung oder Dokumentationen zu SAP Berechtigungsobjekten und Berechtigungsfeldwerten
Mithilfe des SAP-Hinweises 1642106 ist es ab SAP NetWeaver AS ABAP 7.0 möglich, den Textabgleich automatisch durchführen zu lassen. Durch das Einspielen des Hinweises wird der Textabgleich bei allen Änderungen an PFCG-Rollen in das Zentralsystem automatisch durchgeführt. Wir empfehlen Ihnen, das für Ihr Release passende Support Package zu installieren, das im SAP-Hinweis angegeben ist, da das Einspielen des Hinweises aufwendiger manueller Arbeiten bedarf. Mithilfe des Reports SUSR_ZBV_GET_RECEIVER_PROFILES schalten Sie die neue Funktionalität in allen Tochtersystemen ein, in denen der Korrekturhinweis ebenfalls eingespielt wurde. Führen Sie den Report im Zentralsystem mit der Standardselektion aus, sind alle Tochtersysteme enthalten. Ob die Funktion in den Tochtersystemen vorhanden ist, können Sie im Protokoll des Reports prüfen.
Berechtigungen für Entwicklungspakete (Package Privileges): Package Privileges sind Berechtigungen, die den Zugriff auf Entwicklungspakete in der SAP-HANA-Datenbank steuern. Pakete enthalten Design- Time-Versionen von Objekten, die mit diesem Paket mittels einer Delivery Unit transportiert und somit für andere Systeme zur Verfügung gestellt werden können.
Berechtigungen nach einem Upgrade anpassen
Sie haben eine Organisationsstruktur, die 4 Hierarchieebenen - Behörde, Abteilung, Referat, Sachgebiet) umfasst. Das Berechtigungskonzept in Ihrer Organisation sieht vor, dass der Zugriff (Bearbeitung) auf die Records Management Objekte für einen Mitarbeiter nur innerhalb seiner eigenen Organisationseinheit erlaubt sein soll. Die Berechtigungsprüfung soll aber nur auf drei Ebenen erfolgen. Wenn also ein Referat in weitere Sachgebiete untergliedert ist, sollen alle Mitarbeiter des Referats und der Sachgebiete dieselben Berechtigungen haben. Da Abteilung 2 und Abteilung 3 sehr eng zusammen arbeiten, sollen die Mitarbeiter von Abteilung 2 alle Akten, Vorgänge und Dokumente der Abteilung 3 lesen können und umgekehrt.
Nachdem Sie die Daten für die Webseite ermittelt haben, müssen Sie nun das Initialpasswort generieren und per E-Mail verschicken sowie gegebenenfalls den Benutzer entsperren. Dafür gibt es ebenfalls unterschiedliche Lösungen – wir beschreiben eine mögliche Vorgehensweise. Die Generierung eines Passworts können Sie über den Importparameter GENERATE_PWD des BAPIs BAPI_USER_CHANGE veranlassen. Das generierte Passwort wird dann als Initialpasswort gesetzt und muss bei der nächsten Anmeldung durch den Benutzer geändert werden. Außerdem müssen Sie den Importparameter PASSWORDX setzen, um eine Änderung am Passwort anzuzeigen. Über den Exportparameter GENERATED_PASSWORD wird das generierte Passwort zurückgegeben. Dies ist erforderlich, wenn Sie das BAPI BAPI_USER_CHANGE aus einem zentralen System (z. B. aus der ZBV) aufrufen und die betreffende E-Mail aus diesem System verschicken wollen. Sie sollten dieses Passwort niemals speichern, sondern es direkt in Ihrer Anwendung in eine E-Mail einbinden. Anschließend verschicken Sie diese E-Mail an den Benutzer, dessen E-Mail-Adresse Sie entweder direkt im SAP-System ermitteln (Parameter ADDSMTP von BAPI_USER_GET_DETAIL) oder im Rahmen Ihrer Webanwendung (z. B. aus dem AD). Auch wenn Sie die E-Mail-Adresse im AD ermitteln, raten wir Ihnen davon ab, die E-Mail auch von dort aus zu versenden. Initiieren Sie den Versand lieber im Rahmen Ihres zentralen SAPSystems, um zu vermeiden dass das Passwort unnötig übertragen wird. Außerdem raten wir Ihnen dringend, die E-Mails mit den Initialpasswörtern verschlüsselt zu verschicken. Dazu muss die Implementierung Ihres Self-Services bei der Erstellung der E-Mail das Kennzeichen für die Verschlüsselung setzen. Details zur Verschlüsselung von E-Mails und einen alternativen Versand des Initialpassworts direkt aus dem betroffenen SAP-System beschreiben wir in Tipp 98, »E-Mails verschlüsseln«.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Die früher in den SAP-Systemen eingesetzten Hash-Algorithmen sind nicht mehr als sicher einzustufen; sie können innerhalb kurzer Zeit mit einfachen technischen Mitteln geknackt werden.
EARLYWATCH: Der Benutzer EARLYWATCH existiert nur im Mandanten 066, denn er dient der Fernwartung durch den SAP-Support.