Analyse der Qualität des Berechtigungskonzeptes – Teil 1
Prüfung des SAP-Berechtigungskonzepts
Betrachten wir zuerst den Transport Ihrer Berechtigungsvorschlagswerte aus verschiedenen Entwicklungssystemen in ein Konsolidierungssystem. Wenn Sie Berechtigungsvorschlagswerte in den Transportaufträgen speichern, wird Ihnen auffallen, dass hier statt detaillierter Stücklisten generische Einträge verwendet werden. Diese generischen Einträge markieren alle Anwendungen, z. B. mit TR*..
Wenn Sie den Profilparameter dynamisch setzen, werden keine Benutzer vom Anwendungsserver abgemeldet. Wartungsarbeiten können Sie damit rechtzeitig vorbereiten. Der Wert 2 im Profilparameter unterbindet nicht die Anmeldung mit dem Notfallbenutzer SAP*, sofern dieser nicht als Benutzerstammsatz angelegt ist und der Profilparameter login/no_automatic_user_sapstar auf den Wert 0 gesetzt ist. Außerdem können Sie den Wert des Parameters auf der Betriebssystemebene wieder ändern. Details zum Benutzer SAP* finden Sie in Tipp 91, »Mit den Standardbenutzern und deren Initialpasswörtern umgehen«.
Pflegestatus von Berechtigungen in Rollen und deren Auswirkung beachten
Manuelles Berechtigungsprofil - Um den Bearbeitungsaufwand bei Verwendung manueller Berechtigungsprofile zu minimieren, tragen Sie meist nicht einzelne Berechtigungen, sondern zu Berechtigungsprofilen zusammengefasste Berechtigungen in den Benutzerstammsatz ein. Änderungen an Zugriffsrechten werden für alle Benutzer wirksam, deren Benutzerstammsatz das Profil enthält, sobald sie sich das nächste Mal am System anmelden. Bereits angemeldete Benutzer sind also zunächst nicht von Änderungen betroffen.
Um die vielen Informationen zum Thema SAP - und auch anderen - in einer Wissensdatenbank zu speichern, eignet sich Scribble Papers.
Spielen Sie den SAP-Hinweis 1695113 in Ihr System ein. Mit diesem Hinweis werden die Reports RSUSR200 und RSUSR002 um die Selektion verschiedener Benutzersperren oder -gültigkeiten erweitert. Dabei können Sie nun in der Selektion unterscheiden, ob Sie Benutzer mit Administrator- oder Passwortsperren in der Auswahl berücksichtigen oder diese ausschließen möchten. Zusätzlich können Sie im Report RSUSR200 selektieren, ob die Benutzer am Tag der Selektion gültig sein sollen oder nicht. Wählen Sie dazu im Selektionsbild des Reports RSUSR200 im Abschnitt Selektion nach Sperren im Feld Benutzersperren (Administrator) aus, ob Sie die Benutzersperren als gesetzt (01 gesetzt) oder nicht gesetzt (02 nicht gesetzt) selektieren wollen. Dabei werden lokale und globale Administratorsperren berücksichtigt. Auch können Sie im gleichen Abschnitt im Feld Kennwortsperren (Falschanmeldungen) diese als gesetzt (01 gesetzt) oder nicht gesetzt (02 nicht gesetzt) selektieren. Dies bewirkt ein Filtern nach Benutzern, die aufgrund falscher Passwortanmeldungen gesperrt sind und für die eine Passwortanmeldung nicht mehr möglich ist. Diese Selektionskriterien können Sie gemeinsam oder separat auswählen. Alternativ können Sie auch die Option Nur Benutzer ohne Sperren verwenden und zusätzlich im Abschnitt Selektion nach Gültigkeit des Benutzers zwischen Benutzer heute gültig und Benutzer heute nicht gültig wählen.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Oftmals wollen Verantwortliche im Unternehmen keine Korrektur vornehmen, weil diese Kosten und Arbeit verursacht.
Sollten Sie ein Rollenkonzept einsetzen, in dem die Berechtigungen für Teilprozesse jeweils in einer Rolle abgelegt werden, kann dies dazu führen, dass einige Ihrer Benutzer die maximale Anzahl der zugeordneten Profile überschreiten.