Anmeldesperren sicher einrichten
Inaktive Benutzer sperren
Den Systemtrace für Berechtigungen nach und nach für jeden Anwendungsserver auszuführen, ist mühselig. Wir zeigen Ihnen daher, wie Sie Berechtigungsprüfungen auf mehreren Servern gleichzeitig aufzeichnen können. Wenn Sie in einem System mit mehreren Anwendungsservern den Systemtrace für Berechtigungen verwenden möchten, müssen Sie beachten, dass der Trace immer nur Daten je Anwendungsserver protokollieren und auswerten kann. Berechtigungsadministratoren müssen daher bei einem Berechtigungsfehler erst prüfen, auf welchem Anwendungsserver der Anwender mit dem Berechtigungsproblem angemeldet ist, um dann den Trace auf diesem Anwendungsserver zu starten. Wir geben Ihnen hier eine Anleitung zum Aufzeichnen von Berechtigungsprüfungen auf bestimmten Anwendungsservern, zeigen Ihnen aber darüber hinaus auch eine Möglichkeit, um diese Funktion zentral zu nutzen.
Im Rahmen der Lösung SAP Access Control dient die Komponente Business Role Management der zentralen Rollenverwaltung. Sie bietet neben weiteren nützlichen Funktionen die Automatisierung der Massenpflege von Rollenableitungen. Hierzu müssen Sie zunächst die Organisationsmatrix im Customizing (Transaktion SPRO) hinterlegen, d. h., dass Sie im Bereich Details der Organisationsebenenzuordnung für die unterschiedlichen Organisationsfelder die Werte oder Wertebereiche eintragen. Zu diesem Zeitpunkt spezifizieren Sie allerdings noch nicht, welche Referenzrollen für diese Organisationswerte abgeleitet werden sollen.
Transaktion PFUD regelmäßig einplanen
Der Zugriff auf Tabellen und Reports sollte nur eingeschränkt erlaubt werden. Eine generelle Vergabe von Berechtigungen, z. B. für die Transaktion SE16 oder SA38, wird nicht empfohlen. Stattdessen können Parameteroder Reporttransaktionen Abhilfe schaffen. Mithilfe dieser Transaktionen können Sie Berechtigungen nur für bestimmte Tabellen oder Reports erteilen. In der Vorschlagswertepflege können Sie weiterführende Berechtigungsobjekte, wie z. B. S_TABU_NAM, pflegen.
Ermitteln Sie den Personalstammdatensatz, der der Benutzer-ID zugeordnet ist, die Sie gerade in der Transaktion SU01 anlegen. Suchen Sie dazu innerhalb der Personaldaten nach einer Personalnummer, die im Subtyp Systembenutzername SAP-System (0001) des Infotyps Kommunikation (0105) diese Benutzer-ID eingetragen hat. Belegen Sie anschließend die Felder der Transaktion SU01 mit den Daten aus dem Personalstammsatz.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Hilfreich ist das zum Beispiel, um SAP Rollen optimal zu verwalten, für die Ermittlung kritischer Rechte, den SAP Benutzerantrag, das Auditieren von Notfallusern oder den Passwort Self Service.
Haben Sie eigene Anwendungen erstellt, empfehlen wir Ihnen, dafür immer eine eigene Berechtigungsprüfung zu implementieren und sich nicht nur auf die Anwendungsstartberechtigungen wie S_TCODE, S_START, S_SERVICE und S_RFC zu verlassen.