Berechtigungsprüfungen in SAP HANA verstehen
Das SAP-Berechtigungskonzept
Der Hintergrund des massenhaften Vorhandenseins von Berechtigungsobjekten in einer PFCG-Rolle, nachdem ein Rollenmenü erstellt worden ist, ist in der Regel die Masse an generischen OP-Links, die eigentlich für die CRMBusiness- Rolle gar nicht notwendig sind. Durch das Vorhandensein von Vorschlagswerten aus der Transaktion SU24 werden die zu den jeweiligen externen Services gehörigen Berechtigungsvorschlagswerte in die PFCG-Rolle geladen, was zur Folge hat, dass dort zu viele unnötige Berechtigungsobjekte untergebracht werden. Mit dem Ausklammern des Ordners GENERIC_OP_LINKS müssen Sie sich in Ihrer PFCG-Rolle nur um die externen Services und deren Berechtigungsobjekte kümmern, die in der CRM-Business-Rolle konfiguriert wurden. Damit ein Anwender über alle notwendigen Berechtigungen verfügt, weisen Sie diesem nun die Grundrolle mit den Berechtigungen zu den generischen OP-Links und die eigentliche Rolle zu, die den Arbeitsplatz des Anwenders beschreibt.
Voraussetzung für eine gelungene Berechtigungsprüfung ist eine sorgfältige Vorbereitung. Für alle kundeneigenen Funktionalitäten muss eine funktionale Spezifikation erstellt werden. Dies zwingt dazu, darüber nachzudenken, was die eigentlichen Anforderungen der Anwendung sind, und anschließend die mögliche Umsetzung zu beschreiben. Dabei müssen sicherheitsrelevante Aspekte, wie die Berechtigungsprüfung und -vergabe beachtet werden. Legen Sie fest, was man mit diesem Programm ausführen darf, und auch, was man explizit nicht können darf! Bei einer Berechtigungsprüfung kann nicht nur die auszuführende Aktivität wie Lesen, Ändern, Anlegen usw. geprüft werden. Auch können Sie den Zugriff auf die Datensätze anhand bestimmter Kriterien einschränken, wie z. B. anhand von Feldinhalten oder organisatorischen Trennern.
Anmeldung am Anwendungsserver einschränken
Eine solche Organisationsmatrix können Sie als Excel-Datei oder in ABAP anlegen; dies hängt davon ab, wie Sie die Daten einlesen möchten. Beim Einsatz einer gängigen Standardlösung (z. B. SAP Access Control) wird hierzu in der Regel ein entsprechender Pflege-View angeboten. Wir beschreiben zunächst, wie Sie die automatisierte Massenpflege in Form einer kundeneigenen Entwicklung bereitstellen können.
Der Funktionsbaustein wurde offensichtlich nicht für diese Verwendung vorgesehen, unser Vorgehen beeinflusst aber nicht den Programmablauf, und es sind uns keine Einschränkungen durch diese Nutzung bekannt. Diese Vorgehensweise können Sie auch bei anderen BTEs anwenden, die in ähnlicher Form Daten übergeben. Dabei sollten Sie aber immer Vorsicht walten lassen und prüfen, ob die Anwendung bereits Summendatensätze gebildet hat oder ob es andere Abhängigkeiten gibt. Abschließend müssen Sie noch ein von Ihnen entwickeltes Produkt (den Namen können Sie selbst definieren) in der Transaktion FIBF anlegen und dieses zusammen mit dem kundeneigenen Funktionsbaustein dem Business Transaction Event 1650 zuordnen, wie es in der folgenden Abbildung zu sehen ist. Zu einem kundeneigenen Produkt können mehrere Erweiterungen gehören. Es bildet eine logische Klammer um die Erweiterungen und sorgt so für eine bessere Übersicht. Zusätzlich ermöglicht es eine gezielte Aktivierung bzw. Deaktivierung der Implementierungen.
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Zu deren Aktivierung müssen Sie Änderungen im Customizing der Tabelle PRGN_CUST vornehmen.
Die Generierung des Passworts erfolgt in Abhängigkeit von den Passwortregeln; dabei werden zuerst die Vorgaben in der dem Benutzer zugewiesenen Sicherheitsrichtlinie ausgewertet.