Anmeldesperren sicher einrichten
Referenzbenutzer
Um Tabellenberechtigungen in der Transaktion PFCG zu definieren, reicht es nicht zwingend aus, wenn Sie im Rollenmenü die generischen Tabellenanzeigewerkzeuge, wie z. B. die Transaktionen SE16 oder SM30, angeben. Die Vorschlagswerte für diese Transaktionen sind sehr allgemein und sehen nur vor, die Berechtigungsobjekte S_TABU_DIS oder S_TABU_CLI zu verwenden. Explizite Werte müssen Sie in Abhängigkeit von den von Ihnen zur Berechtigung ausgewählten Tabellen eintragen. Möchten Sie den Zugriff auf die Tabellen explizit über das Berechtigungsobjekt S_TABU_NAM gewähren, können Sie für jeden Tabellenzugriff eine Parametertransaktion erstellen. Mithilfe einer Parametertransaktion kann man Tabellen z. B. über die Transaktion SE16 aufrufen, ohne den Tabellennamen im Selektionsbildschirm angeben zu müssen, da dieser übersprungen wird. Für die erstellte Parametertransaktion können Sie anschließend Vorschlagswerte pflegen.
Die Lösung der ersten beiden genannten Probleme erhalten Sie durch das Einspielen der Korrektur aus dem SAP-Hinweis 1614407. Die Profildaten werden nicht mehr zum Zeitpunkt der Rollenaufzeichnung, sondern erst bei der Freigabe des Transportauftrags der Stückliste hinzugefügt. Auf diese Weise ist die Übereinstimmung zwischen den Berechtigungsdaten der Rolle und den dazugehörigen Profildaten gewährleistet. Der freigegebene Transportauftrag enthält ebenfalls die komplette Änderungshistorie der Profile und Berechtigungen, sodass auch die Löschung obsoleter Daten in den Zielsystemen möglich ist.
Ein kompliziertes Rollenkonstrukt
Diese Darstellung wurde gewählt, damit die Unterschiede in der Einstufung von Benutzertypen sichtbar werden, denn es kann trotz der Einstellung Global für den Verteilungsparameter der Lizenzdaten (in der Transaktion SCUM) vorkommen, dass sich die Einstellungen in der ZBV von den Einstellungen des Tochtersystems unterscheiden. Zusätzlich können Sie im Report noch die Spalten ID: Vertraglicher Nutzertyp und ID: Wert in Zentrale einblenden, die die technischen Werte zum Benutzertyp beinhalten. Sollten Benutzer auf den Tochtersystemen nicht für die Lizenzvermessung relevant sein, wird der Wert Benutzer ist für die Lizenzvermessung irrelevant in der Spalte Vertraglicher Nutzertyp ausgegeben. Dieser Wert tritt für die folgenden Benutzer auf: - technische Benutzer - Benutzer ist nicht vorhanden - Benutzer ist nicht gültig - Benutzer ist vom Typ Referenzbenutzer.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Scribble Papers ist ein "Zettelkasten", mit dem das sehr einfach möglich ist.
Zusätzliche Berechtigungsprüfung auf das Berechtigungsobjekt S_RZL_ADM: Aus Sicherheitsgründen erfolgt eine zusätzliche Berechtigungsprüfung auf das Berechtigungsobjekt S_RZL_ADM für spezielle Dateien vom Typ PSE (Personal Security Environment) mit der Zugriffsart 01 (Anlegen). Es handelt sich um Dateien mit den Namen *.pse und cred_v2. Diese Dateien werden für Single Sign-on, Verschlüsselung und digitale Signaturen benötigt. Gepflegt werden sie mithilfe der Transaktion STRUST und der Transaktion STRUSTSSO2, die dieselbe Berechtigung verlangen (Details hierzu finden Sie im SAP-Hinweis 1497104).
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Der Einstieg in die Rollenpflege erfordert zusätzlich zur Änderungsberechtigung (Berechtigungsobjekt S_USER_AGR, ACTVT = 02) die Transportberechtigung (Berechtigungsobjekt S_USER_AGR, ACTVT = 21).
Der Zugriff auf Tabellen und Reports sollte nur eingeschränkt erlaubt werden.