Neuaufbau des Berechtigungskonzeptes
Berechtigungskonzept des AS ABAP
Nehmen wir an, eine Benutzerin – wir nennen sie Claudia – soll die Spoolaufträge eines anderen Benutzers – in unserem Beispiel Dieter – in der Transaktion SP01 bearbeiten können. Was müssen Sie als Administrator dafür tun? Jeder Spoolauftrag besitzt ein Feld Berechtigung; standardmäßig ist dieses Feld leer. Wenn sich Claudia einen Spoolauftrag von Dieter ansehen möchte, überprüft das System, ob Claudia über eine bestimmte Berechtigung für Spoolaufträge mit dem Wert DIETER verfügt. Für ihre eigenen Spoolaufträge, die nicht mit einem speziellen Berechtigungswert geschützt sind, benötigt Claudia keine zusätzlichen Berechtigungen.
In der SU53 erhalten Sie den Eintrag des Benutzers, der dort gepeichert ist, und dieser kann ggf. alt sein. Besser ist also den Benutzer selbst über das Menü den Berechtigungsfehler anzeigen zu lassen. Vielleicht erstellen Sie allen Ihren Benutzern eine kleine Doku, wie er sich den Fehler anzeigen läßt, und wo er ihn hinschicken kann, also ein „Kochrezept: How To…“. In dem Fehlerauszug der SU53 werden als erstes die dem Benutzer fehlende Berechtigung angezeigt. Dieses Objekt gilt es also zu analysieren. Im Weiteren der Fehlermeldung werden die dem Benutzer zugeordneten Berechtigungen angezeigt. Diese Informationen kann man dazu benutzen, den Benutzer mit seinem Rollenset einzuordnen, wohin er gehört etc. Letztlich haben wir in unserm Fall 1 nun die fehlende Berechtigung und müssen nun klären, ob der Benutzer diese Berechtigung erhalten soll oder nicht. Dazu muss die Fachabteilung kontaktiert werden, die ja zu entscheiden hat, ob der Benutzer die Berechtigung erhält! Es kann vorkommen, dass es sich bei dem vom Benutzer gemeldeten Problem gar nicht um ein Berechtigungsproblem handelt. Dann wird in dem SU53 – Bereich der letzte Berechtigungsfehler angezeigt, der gar nicht die Fehlerursache ist. Deshalb ist es immer gut, sich auch ein Bildschirmbild der eigentlichen Fehlermeldung schicken zu lassen. Es kommt gar nicht so selten vor, dass Entwickler aus ihren Programmen einen Berechtigungsfehler der Art „Keine Berechtigung für…“ ausgeben, dieser aber gar nicht mit einer standardmäßigen Berechtigungsprüfung geprüft haben, so dass der Fehler kein eigentlicher Berechtigungsfehler ist.
Unklare Zielvorgaben und fehlende Definition eigener Sicherheitsstandards
Im Zuge eines umfassenden Schutzes Ihres Systems von innen sowie von außen ist es unabdingbar, vor allem die SAP Standardbenutzer genauer zu betrachten. Sie haben weitreichende Berechtigungen, die bei einem Missbrauch hohe Schäden in Ihrem System anrichten. Dabei ist zu beachten, dass sie sehr wichtig für die Betriebsausführung Ihres SAP Systems sind und nicht gelöscht werden dürfen. Da die dazugehörigen Standardpasswörter jedoch schnell recherchierbar sind, müssen diese umgehend nach Auslieferung des SAP ERP geändert werden. Eine detaillierte Prüfung dieser User können Sie durch den Report RSUSRS003 ausführen. Außerdem ist es empfehlenswert, bestimmte Standardnutzer bis zur eigentlichen Nutzung inaktiv zu setzen.
Wer über wertvolles, persönliches Eigentum verfügt, übernimmt hierfür Verantwortung – so wie bspw. ein Hausherr. Er entscheidet darüber, ob Veränderungen am Gebäude vorgenommen, Sichtschutzhecken im Garten gepflanzt oder überflüssige Altgeräte entsorgt werden müssen und lässt ggf. beim Verlust des Haustürschlüssels sofort ein neues Schloss einbauen. Möglicherweise verbietet er Besuchern, die nicht zur Verwandtschaft gehören, den Zutritt zum Schlafzimmer oder der Tochter, im Haus eine öffentliche Party zu feiern.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Der erste Schritt, um Wildwuchs in den Berechtigungen zu beseitigen, besteht darin, diesen zu verhindern.
Berechtigungsobjekt S_PROJECT: Das Berechtigungsobjekt S_PROJECT berechtigt zum Arbeiten mit Customizing-Projekten.