Berechtigungskonzept – Benutzerverwaltungsprozess
SAP_NEW zu Testzwecken zuweisen
Sie führen SAP HANA in Ihrem Unternehmen ein und brauchen für Zugriffe auf die Datenbank auch eine Benutzerverwaltung für SAP HANA? Wir zeigen Ihnen die verschiedenen Möglichkeiten der Benutzersynchronisation zwischen ABAP-System und HANA-Datenbank. Die HANA-Datenbank dient ebenso wie die klassischen Datenbanken als Persistenz für das ABAP-System und liegt damit in der Datenbankschicht. In einem solchen Szenario steuern Sie die Berechtigungen der Benutzer über die Applikationsschicht im SAP NetWeaver Application Server ABAP (SAP NetWeaver AS ABAP). Datenbankseitig, d. h. in SAP HANA sind nur technische Benutzer erforderlich. Darüber hinaus gibt es aber auch Anwendungsszenarien, die es erforderlich machen, dass Ihre Anwender Benutzer und Berechtigungen direkt in der HANA-Datenbank erhalten. Im Business-Intelligence-Umfeld (BI-Umfeld) kann dies z. B. bei direkten Zugriffen auf Data Marts in der Datenbank der Fall sein. Zusätzlich hat die HANA-Datenbank eine eigene Anwendungsschicht (SAP HANA Extended Application Services, SAP HANA XS), die Sie auch ohne ABAP-System nutzen können, z. B. für Webzugriffe, die von mobilen Endgeräten ausgehen.
Die Pflege der Berechtigungen zu den Auditstrukturen wird ebenfalls durch die Bereichsmenüs vereinfacht. Die von Ihnen genutzten Auditstrukturen bzw. Bereichsmenüs können Sie in der Rollenbearbeitung selektieren und so als Menüs in die Rollen importieren. Möchten Sie eine Einschränkung für Benutzer des AIS auf bestimmte Auditstrukturen einrichten oder einzelne Audits vor dem Zugriff schützen, können Sie dafür das Berechtigungsobjekt S_SAIS nutzen. Dieses Objekt steuert den Zugriff auf die Auditstrukturen oder die Prüfnummern einzelner Audits.
SAP Berechtigungstrace – Einfache Übersicht über Berechtigungen
Diesen Rollen können Sie nun Transaktionen zuordnen. Die Erfahrung zeigt, dass Rollen applikationsspezifisch bleiben sollten und ferner eine Unterscheidung zwischen buchenden bzw. anlegenden, ändernden und lesenden Rollen sinnvoll ist. Es wird regelmäßig Transaktionen geben, die in mehreren Rollen verwendet werden. Die oft geforderte Redundanzfreiheit sollten Sie nicht zu hoch bewerten. Für kritische Transaktionen oder für Transaktionen, die Anteil an einem Funktionstrennungskonflikt haben, empfiehlt es sich aber, diese in einer eigenen Rolle vorzuhalten. Generell sollten Rollen nicht zu viele Transaktionen enthalten; kleinere Rollen sind einfacher zu warten und einfacher abzuleiten. Ihre Vergabe führt auch nicht so zügig zu dem Problem, dass Benutzer über zu viele Berechtigungen verfügen. Sofern Sie die notwendigen Funktionstrennungen gleich festhalten, haben Sie diese auch schon als Take-away vorbereitet.
Die Nutzung dieser Funktionalität ist nur über die Transaktion SU01 möglich. Bei der Arbeit mit der Transaktion SU10 (z. B. zur Massenanlage oder Massenlöschung) wird nur der ABAP-Benutzer geändert; der Datenbankbenutzer in SAP HANA bleibt unangetastet. Weitere Details zur Konfiguration und Nutzung finden Sie auf http://help.sap.com/.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Im folgenden Beispiel enthält die Rolle MODELING die Berechtigung für die Nutzung des Objekts _SYS_BI mit der Einschränkung auf die Privilegien EXECUTE, SELECT, INSERT, UPDATE und DELETE.
Dass Organisationsebenen manuell gepflegt worden sind, erkennen Sie, wenn Sie Werte über den Button Orgebenen eintragen, die Änderungen aber nicht in das Berechtigungsobjekt übernommen werden.