Werte des Berechtigungstrace ins Rollenmenü übernehmen
S_TABU_NAM in ein Berechtigungskonzept integrieren
Partner, die ihre Entwicklungen ausliefern, pflegen die Vorschlagswerte für ihre Anwendungen ebenfalls in der Transaktion SU22. Nehmen Kunden Entwicklungen in Systemen vor, die außer Ihrer Systemlandschaft noch weitere Systemlandschaften beliefern und in denen jeweils unterschiedliche SU24- Vorschlagswerte je System benötigt werden, werden die Vorschlagswerte in der Transaktion SU22 gepflegt. Der Profilgenerator verwendet als Datenbasis nur die Werte der Transaktion SU24 in Ihrer Kundenumgebung. Zur Pflege der Vorschlagswerte können Sie in der Transaktion SU24 sowohl die Daten des Systemtrace für Berechtigungen aus den Transaktion ST01 bzw. STAUTHTRACE als auch die Daten des Berechtigungstrace verwenden (siehe Tipp 39, »Vorschlagswerte unter der Zuhilfenahme von Traceauswertungen pflegen«).
Über die Customizing-Parameter in der Tabelle PRGN_CUST wird der Passwortgenerator in den Transaktionen SU01 und SU10 gesteuert. Die Werte der Profilparameter übersteuern die Einträge zu den Customizing-Parametern, damit keine ungültigen Passwörter generiert werden. Sollte also der Wert eines Customizing-Parameters kleiner sein als der Wert des korrespondierenden Profilparameters, wird stattdessen der Standardwert des Customizing-Parameters gezogen. Analog verhält es sich, wenn kein Wert gepflegt wurde.
Audit Information System Cockpit nutzen
Ein weit aufwendigerer Weg ist die Identifikation über das Business-Rollen- Customizing. Identifizieren Sie hier zuerst den technischen Namen der Bereichsstartseite bzw. des logischen Links im Customizing Ihrer Business-Rolle in der Transaktion CRMC_UI_PROFILE. Bei einer Bereichsstartseite prüfen Sie nun noch den technischen Namen des dazugehörigen logischen Links. Im nächsten Schritt wechseln Sie in das Navigationsleisten-Customizing in der Transaktion CRMC_UI_NBLINKS und identifizieren zu dem technischen Namen Ihres logischen Links die dazugehörige Ziel-ID im View Logischen Link definieren. Wenn Sie die Ziel-ID als Suchparameter in der Tabelle CRMC_UI_COMP_IP verwenden, erhalten Sie als Suchergebnis die Informationen zu Komponentenname, Komponentenfenster sowie Inbound- Plug.
TMSADM: Der Benutzer TMSADM dient der Kommunikation zwischen SAP-Systemen im Transportmanagementsystem und wird bei deren Konfiguration automatisch im Mandanten 000 angelegt. TMSADM hat nur die Berechtigungen für den Zugriff auf das gemeinsame Transportverzeichnis, für die Anzeige im Änderungs- und Transportmanagementsystem und die notwendigen RFC-Berechtigungen. Schutzmaßnahmen: Ändern Sie die Passwörter des Benutzers in den einzelnen Mandanten. Dazu gibt es den Report TMS_UPDATE_PWD_OF_TMSADM, den Sie im Mandanten 000 starten müssen. Dies ist nur möglich, wenn Sie über Administratorberechtigungen in allen Systemen der Landschaft verfügen und die Passwortregeln der Systeme kompatibel sind. Nachdem der Report erfolgreich durchlaufen worden ist, haben alle TMSADM-Benutzer der Landschaft im Mandanten 000 und deren Destinationen dasselbe neue Passwort.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Wird bei der Anlage eines Benutzers keine Benutzergruppe zugeordnet, wird dem Benutzer automatisch die Standardbenutzergruppe zugewiesen.
Das SAP Berechtigungskonzept ist generell in zwei Ausprägungen zu erstellen: für den ABAP– sowie den Java-Stack.