Customizing
Berechtigungstools – Vorteile und Grenzen
Die Berechtigungen im NWBC werden ebenso wie im normalen SAP-Easy-Access-Menü gehandhabt. Den Einzel- und Sammelrollen ordnen Sie beispielsweise Transaktionen und Web-Dynpro-Anwendungen in definierter Menüstruktur im Rollenmenü zu. Die Navigationsstruktur des NWBC spiegelt die Menüstruktur und die Einstellungen der entsprechenden PFCG-Rolle wieder, die dem Benutzer zugeordnet ist. Die Ordnerstruktur des Rollenmenüs hat direkten Einfluss auf die Navigationsleiste, die dem Benutzer im NWBC angezeigt wird.
Die Auswertung der Lizenzdaten über die ZBV mit dem Report RSUSR_SYSINFO_LICENSE liefert eine Ergebnisliste mit den folgenden Inhalten: Vertraglicher Nutzertyp - Diese Spalte beinhaltet die tatsächlichen lokalen Benutzertypen aus den Tochtersystemen der ZBV. Wert in Zentrale - Diese Spalte beinhaltet den zentralen Benutzertyp aus der ZBV, der für das jeweilige Tochtersystem zu dem Benutzer hinterlegt ist.
Notfalluserkonzept
DDIC: DDIC ist als einziger Benutzer während Installationen und Releasewechseln in der Lage, sich anzumelden bzw. Änderungen am ABAP Dictionary vorzunehmen. Außerdem wird er im Mandanten 000, z. B. für bestimmte Jobs oder Unicode-Umwandlungen, verwendet. DDIC existiert in allen Mandanten außer im Mandanten 066. Schutzmaßnahmen: Setzen Sie DDIC in allen Systemen (außer im Mandanten 000 wegen der Upgrade-Funktionen) auf den Benutzertyp System. Bei Bedarf können Sie ihn mithilfe des Notfallbenutzers wieder auf einen Dialogbenutzer umstellen. Ändern Sie das Passwort, ordnen Sie den Benutzer der Benutzergruppe SUPER zu, und protokollieren Sie ihn mit dem Security Audit Log.
Grundsätzlich sollten Sie beachten, dass in der Benutzer- und Berechtigungsverwaltung nicht alle relevanten Änderungsbelege eines Systems vorhanden sind. In der Regel erfolgt die Berechtigungsadministration im Entwicklungssystem; daher entstehen die relevanten Änderungsbelege der Berechtigungsverwaltung in den Entwicklungssystemen. Im Gegensatz dazu finden Sie die relevanten Änderungsbelege der Benutzerverwaltung in den Produktivsystemen; daher sollten Sie beachten, dass beim Import von Rollen und Profilen in den Produktivsystemen keine Änderungsbelege geschrieben werden. Es entstehen nur Transportprotokolle, die festhalten, dass Änderungen an den Objekten vorgenommen wurden. Ihre Änderungsbelege der Berechtigungsverwaltung auf den Entwicklungssystemen sind aus diesem Grund revisionsrelevant und sollten entsprechend abgesichert werden.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Ein Self- Service, der sich der Business Application Programming Interfaces (BAPIs) bedient, kann diesem entgegenwirken.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Zusätzlich wurde in den Reports des Benutzerinformationssystems die Selektion nach Benutzern mit ausgewählten Sicherheitsrichtlinien ergänzt.