Tabellenberechtigungsgruppen pflegen
Organisatorische Zuordnung
Kein Benutzer kann mehr ohne die Zuordnung einer gültigen Benutzergruppe angelegt, gepflegt oder gelöscht werden. Wird bei der Anlage eines Benutzers keine Benutzergruppe zugeordnet, wird dem Benutzer automatisch die Standardbenutzergruppe zugewiesen. Bevor Sie den Schalter USER_GRP_REQUIRED setzen, muss zuvor jedem vorhandenen Benutzer eine Benutzergruppe zugeordnet worden sein, und die Administratoren müssen über die Berechtigungen für die Standardbenutzergruppe verfügen. Bei der Anlage eines neuen Benutzers wird die Standardbenutzergruppe als Vorbelegung herangezogen; diese Benutzergruppe kann durch die Einstellung einer anderen Benutzergruppe im Benutzerparameter S_USER_GRP_DEFAULT für jeden Benutzeradministrator überschrieben werden. Der Customizing-Schalter erfordert eine gültige Benutzergruppe, denn diese wird als Standardbenutzergruppe verwendet. Sollte keine gültige Benutzergruppe im Customizing-Schalter eingetragen worden sein, ist die Benutzergruppe trotzdem ein Pflichtfeld. Dies führt dann gegebenenfalls zu Fehlern bei der automatisierten Anlage von Benutzern.
Wenn Sie den Profilparameter dynamisch setzen, werden keine Benutzer vom Anwendungsserver abgemeldet. Wartungsarbeiten können Sie damit rechtzeitig vorbereiten. Der Wert 2 im Profilparameter unterbindet nicht die Anmeldung mit dem Notfallbenutzer SAP*, sofern dieser nicht als Benutzerstammsatz angelegt ist und der Profilparameter login/no_automatic_user_sapstar auf den Wert 0 gesetzt ist. Außerdem können Sie den Wert des Parameters auf der Betriebssystemebene wieder ändern. Details zum Benutzer SAP* finden Sie in Tipp 91, »Mit den Standardbenutzern und deren Initialpasswörtern umgehen«.
Unzufriedenheit und unklarer Bedarf im Prozess
Vor allem in komplexen und mehrstufigen Systemlandschaften kann es dazu kommen, dass Rollen einem Benutzer doppelt zugewiesen sind. Zudem können Rollen auch durch die Ausprägung eines Gültigkeitszeitraums abgelaufen sein. Um Ihr Rollenkonzept und Ihre Benutzerverwaltung wartbar und sauber zu halten ist es empfehlenswert, diese obsoleten Rollen zu löschen. Dies können Sie per Klick durch den Report PRGN_COMPRESS_TIMES ausführen. Dieses Programm ist auch über die PFCG unter dem Systemreiter „Hilfsmittel“ und Rubrik „Massenabgleich“ abrufbar.
Mit dem SAP-Hinweis 1707841 wird eine Erweiterung für den Systemtrace in der Transaktion STAUTHTRACE ausgeliefert, die es ermöglicht, den Berechtigungstrace auf allen oder auf bestimmten Anwendungsservern zu verwenden. Zur Auswahl der Anwendungsserver, auf dem der Trace gestartet werden soll, klicken Sie auf den Button Systemweiter Trace. Markieren Sie nun die Anwendungsserver in der Liste, auf denen der Systemtrace ausgeführt werden soll, und starten Sie den Trace mit einem Klick auf Trace einschalten. In der Auswertung des Berechtigungstrace ist nun eine zusätzliche Spalte Server Name zu sehen, in der Ihnen der Name des Anwendungsservers angezeigt wird, auf dem die jeweiligen Berechtigungsprüfungen protokolliert wurden.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Schließlich können Sie Ihre Implementierung des BAdIs BADI_IDENTITY_SU01_CREATE noch erweitern und zusätzliche Felder der Transaktion SU01 vorbelegen.
Anschließend legen Sie einen Text für das Berechtigungsobjekt fest und selektieren maximal zehn Berechtigungsfelder für das Objekt über den Button Felder.