Benutzerinformationssystem SUIM
Prüfung auf Berechtigungen für die alte Benutzergruppe bei der Zuweisung einer neuen Benutzergruppe zu einem Benutzer
Öffnen Sie hierzu in der Transaktion SU24 die Anwendung, die Sie anpassen möchten. Um die fehlenden Vorschlagswerte zu pflegen, können Sie hier nun den Trace starten, indem Sie auf den Button Trace klicken. Sie können selbstverständlich auch den Systemtrace für Berechtigungen über die Transaktionen ST01 oder STAUTHRACE verwenden. Es öffnet sich ein neues Fenster. Klicken Sie hier auf den Button Trace auswerten, und wählen Sie Systemtrace (ST01) > Lokal. Im sich daraufhin öffnenden Fenster haben Sie nun die Gelegenheit, den Trace auf einen bestimmten Benutzer einzuschränken oder ihn auch direkt zu starten. Tragen Sie dafür einen Benutzer ein, der die Anwendung, die Sie aufzeichnen möchten, aufruft, und klicken Sie anschließend auf Trace einschalten. Nun können Sie in einem separaten Modus die Anwendung aufrufen und ausführen, die Sie anpassen möchten. Sobald Sie die Aktivitäten, deren Berechtigungsprüfungen Sie benötigen, ausgeführt haben, d. h. mit dem Trace fertig sind, kehren Sie zu Ihrer Anwendung in der Transaktion SU24 zurück und stoppen den Trace über den Button Trace ausschalten. Um die Auswertung vorzunehmen, klicken Sie nun auf Auswerten. Um die Tracedaten der jeweiligen Berechtigungsobjekte zu erhalten, wählen Sie im linken oberen Bereich in der Auswahlliste Berechtigungsobjekt das Berechtigungsobjekt aus, das Sie anpassen möchten.
Die indirekte Rollenvergabe verwendet für die Zuweisung der PFCG-Rollen zu den entsprechenden Anwendern die Auswertungswege PROFLO und PROFLINT. Diese Auswertungswege ignorieren allerdings das Objekt CP (zentrale Person), die den Geschäftspartner in SAP CRM darstellt. In Transaktion PFUD, die für den Benutzerabgleich sorgt, werden die Auswertungswege US_ACTGR und SAP_TAGT verwendet. Auch hier ist das Objekt CP nicht bekannt.
BERECHTIGUNGEN FÜR BATCH-VERARBEITUNG IM SAP NETWEAVER UND S/4HANA-UMFELD
Im Rahmen von Upgrades müssen auch die Berechtigungsrollen überarbeitet werden. In diesem Zusammenhang können Sie das Profil SAP_NEW zur Unterstützung verwenden. Während eines Upgrades werden Änderungen und Verbesserungen von Berechtigungsprüfungen im SAP NetWeaver AS ABAP ausgeliefert. Damit die Benutzer weiterhin wie gewohnt Ihre bisherigen Aktionen im SAP-System durchführen können, müssen Sie als Berechtigungsadministrator die Berechtigungsausprägungen im Rahmen des etablierten Berechtigungskonzepts überarbeiten bzw. ergänzen. Grundsätzlich nutzen Sie hierzu die Transaktion SU25. Für die Übergangszeit können Sie die Berechtigung SAP_NEW einsetzen, bis das Berechtigungskonzept auf dem aktuellen Stand für das neue Release ist. Da der Umgang mit SAP_NEW nicht immer transparent ist und sich z. B. die Frage stellt, wann das Profil zugewiesen sein soll und wann nicht, erläutern wir hier die Hintergründe.
Bei der Tabellenprotokollierung muss sichergestellt sein, dass der SAP®-Hinweis 112388 (protokollierungspflichtige Tabellen) vollständig umgesetzt ist und zusätzlich alle Tabellen, welche finanzrelevante Daten beinhalten, von der Protokollierung umfasst werden. Das gilt selbstverständlich auch für alle Z-Tabellen! Als letzten Punkt der wichtigen Parametereinstellungen sind jene für die Definition der Kennworteinstellungen. Hier sollte sichergestellt werden, dass die Parameter ebenfalls gemäß der Unternehmensvorgaben eingerichtet sind. Die Überprüfung sollte allerdings nicht nur auf die globalen, für alle Benutzer gültigen, Einstellungen liegen, sondern auch all jene Benutzer umfassen, welche eigene Sicherheitsrichtlinien zugewiesen wurden. Gerade für diese muss eine entsprechende Begründung schriftlich vorliegen.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Details zu den technischen Abhängigkeiten zwischen den Releases finden Sie im SAP-Hinweis 1458262.
Neben diesen Voraussetzungen können auch andere Einstellungen dafür sorgen, dass die Transaktion ohne Prüfung ausgeführt werden darf: Die Prüfung der Berechtigungsobjekte ist über Prüfkennzeichen (in der Transaktion SU24) ausgeschaltet.