Allgemeine Betrachtungen
Transporte
Das Customizing der Organisationskriterien ist mandantenübergreifend. Die Aktivierung der Organisationskriterien ist allerdings mandantenabhängig. Möchten Sie diese Berechtigungen in verschiedenen Mandanten nutzen, müssen Sie die jeweiligen Organisationskriterien für den jeweiligen Mandanten aktivieren. Nun können Sie das Organisationskriterium in Ihrer PFCG-Rolle verwenden. Pflegen Sie dazu das Berechtigungsobjekt S_TABU_LIN mit dem von Ihnen erstellten Organisationskriterium ein. Weisen Sie dazu die jeweiligen Attribute mit den organisatorischen Werten zu, für die der Anwender berechtigt sein soll. Hier können Sie neben den Einzelwerten auch Intervalle für Ihr Organisationskriterium angeben, sodass Sie den Anwendern Berechtigungen für mehrere organisatorische Werte zuteilen können.
Die Prüfung auf die Vergabe des Profils SAP_ALL erfolgt im SOS anders als im EWA: Wird ein Benutzer gefunden, dem SAP_ALL zugewiesen wurde und den Sie nicht in der entsprechenden Whitelist eingetragen haben, wird er trotzdem in den nachfolgenden Berechtigungsprüfungen ausgeblendet. Die Ausgabe der identifizierten Benutzer erfolgt entweder durch eine vollständige Liste oder durch Beispiele konkreter Benutzer. In beiden Fällen können Sie die vollständige Liste in der Transaktion ST14 des SAP Solution Managers herunterladen. Die Zuordnung der Benutzerlisten zu den Berechtigungsprüfungen können Sie über die Check-ID herstellen. Allerdings sollten Sie beachten, dass in diesen Listen die Auswertungen der Whitelists noch nicht enthalten sind.
Sicherheit innerhalb des Entwicklungssystems
Zur Erstellung von PFCG-Rollen sind gut gepflegte Vorschlagswerte überaus hilfreich. Wir geben Ihnen einen groben Leitfaden, wann es sinnvoll ist, Vorschlagswerte zu pflegen. SAP liefert Vorschlagswerte für die Erstellung von PFCG-Rollen in den Tabellen USOBT und USOBX mittels Upgrades, Support Packages oder Hinweisen aus. Diese Vorschlagswerte beinhalten Wertvorschläge für Berechtigungen von SAP-Standardapplikationen, die in PFCG-Rollen gepflegt werden können. Vorschlagswerte werden nicht nur für Transaktionscodes ausgeliefert, sondern auch für Web-Dynpro-Anwendungen, RFC-Funktionsbausteine oder externe Services. Diese Vorschlagswerte können Sie an Ihre Anforderungen anpassen. Dies geschieht jedoch nicht in den ausgelieferten Tabellen, sondern in den Kundentabellen USOBT_C und USOBX_C. Die Pflege wird in der Transaktion SU24 vorgenommen.
Die Konfigurationsvalidierung nutzt die Konfigurationsdaten der CCDB für den Abgleich der Einstellungen. Dazu definieren Sie Ihre kundenspezifischen Sicherheitseinstellungen technisch in einem Zielsystem. Dieses enthält die Vorgaben für die Konfiguration der SAP-Systeme. Dabei ist es Ihnen auch möglich, ein Zielsystem, basierend auf den Einstellungen eines existierenden Systems, zu definieren und an Ihre Anforderungen anzupassen. Anschließend vergleichen Sie täglich die Einstellungen Ihrer SAP-Systeme mit diesem Zielsystem und erhalten so einen Überblick über die Abweichungen. Da es natürlich unterschiedliche Sicherheitsanforderungen an die Systeme in Ihrer Landschaft geben kann (z. B. Entwicklungs- und Produktivsysteme), können Sie verschiedene Zielsysteme mit den entsprechenden Einstellungen definieren. Den Abgleich mit einem Zielsystem starten Sie dann jeweils für die relevanten Systeme. Alternativ können Sie auch einen Vergleich mit einem tatsächlich vorhandenen System durchführen; dies ist z. B. im Rahmen eines Roll-outs eine sinnvolle Funktion.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Ist im Organisationsmanagement allerdings auch der Geschäftspartner gepflegt worden, gibt es für diesen Fall keinen Standardauswertungsweg, und der der Rolle zugeordnete Benutzer wird nicht gefunden.
Ziel der Berechtigungskonzepte ist es, jeden Benutzer regelkonform mit den für seine Aufgabe benötigten Berechtigungen im SAP-System auszustatten.