Lösungsansätze für effiziente Berechtigungen
RSUSR003
Welche Rollen hat mein Benutzer (SU01)? Wir starten mit einer einfachen Frage: welche Rollen sind deinem SAP-Benutzer eigentlich zugeordnet? Mit der Transaktion SU01 kannst du dir deinen (oder andere) SAP-Benutzer ansehen. Neben vielen anderen Informationen findest du auf dem Reiter “Rollen” die zugeordneten Einzel- und Sammelrollen.
Zusätzlich zur Definition von Berechtigungen für den externen RFC-Zugriff über das Berechtigungsobjekt S_RFC besteht die Möglichkeit, den externen Aufruf von Funktionsbausteinen grundsätzlich zu unterbinden. Ab SAP Net-Weaver AS ABAP 7.40 gibt es dafür die zusätzliche Sicherheitsschicht SAP Unified Connectivity (UCON). Sie steuert den externen Zugriff auf RFC-Funktionsbausteine unabhängig von Benutzern oder Rollen und lässt sich mandantenabhängig konfigurieren. Dabei werden alle Funktionsbausteine, die per RFC ausführbar sein sollen, in die UCON Communication Assembly eingetragen. Ist ein Funktionsbaustein dort nicht hinterlegt, wird der Aufruf blockiert. UCON wurde so konzipiert, dass es die Performance bei RFC-Aufrufen so wenig wie möglich beeinflusst. Die Identifizierung der erforderlichen Funktionsbausteine erfolgt im UCON Phase Tool (Transaktion UCONPHTL), das konstant alle externen RFC-Aufrufe überwacht und eine Einführung der UCON Communication Assembly unterstützt. So können Aufrufe von neuen Funktionsbausteinen (z. B. kundeneigene Entwicklungen, Änderungen durch Support Packages) analysiert und gegebenenfalls für den externen Zugriff freigegeben werden. Zusätzlich bietet UCON die Möglichkeit, die Konfiguration im Rahmen einer Evaluierungsphase zu prüfen. In einem ERP-System gibt es circa 40.000 RFC-fähige Funktionsbausteine; üblicherweise werden davon nicht mehr als ein paar Hundert verwendet. Mit dem Einsatz von UCON erhöhen Sie daher die Sicherheit Ihres Systems.
Prüfung auf Programmebene mit AUTHORITY-CHECK
Über die Schaltfläche Feldpflege können auch eigenentwickelte Berechtigungsfelder erstellt werden denen entweder ein bestimmtes Datenelement zugeordent wird oder auch Suchhilfen oder Prüftabellen hinterlegt werden. Auf RZ10.de ist hier im Artikel "Erstellen von Berechtigungsobjekten mit der SAP Transaktion SU21" das Thema ausführlicher inklusive Videoaufzeichnung beschrieben worden.
Einer Tabelle oder einem Pflege-View können Sie über die Transaktion SE11 oder über die Transaktion SE54 eine Tabellenberechtigungsgruppe zuweisen. Diese Zuordnung ist als Customizing-Einstellung definiert und bleibt damit auch nach einem Releasewechsel bestehen. Die Zuordnung einer Tabelle zu einer Tabellenberechtigungsgruppe nehmen Sie über die Transaktion SE11 vor, indem Sie Ihre Tabelle im Startbild auswählen und den Button Anzeigen betätigen.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Befindet sich die kundeneigene Transaktion noch nicht in den PFCG-Rollen, wird sie an dieser Stelle ergänzt, und die jeweilige PFCG-Rolle wird neu abgemischt.
Sie erhalten noch einmal die Gelegenheit, einige Abspieleigenschaften einzustellen.