Berechtigungsrollen (Transaktion PFCG)
Anforderungen an ein Berechtigungskonzept umsetzen
Sie haben Anwendungen selbst entwickelt und möchten Vorschlagswerte für diese pflegen? Das geht am einfachsten mithilfe des Berechtigungstrace. Auch bei selbst entwickelten Anwendungen werden Berechtigungsprüfungen durchgeführt. Diese Anwendungen müssen somit in die PFCG-Rollen aufgenommen werden. Werden sie in einem Rollenmenü gepflegt, wird Ihnen auffallen, dass neben den Startberechtigungen (wie z. B. S_TCODE) keine weiteren Berechtigungsobjekte in die PFCG-Rolle übernommen werden. Der Grund dafür ist, dass auch für kundeneigene Anwendungen Vorschlagswerte gepflegt werden müssen, um sicherzustellen, dass die PFCG-Rollenpflege regelkonform abläuft, und um die Pflege für Sie zu erleichtern. Bisher mussten die Werte von kundeneigenen Anwendungen entweder manuell in der PFCG-Rolle nachgepflegt werden, oder die Vorschlagswertepflege in der Transaktion SU24 wurde manuell durchgeführt.
Im Bereich Weitere Knotendetails können Sie weitere Einstellungen vornehmen. Mit der Aktivierung der Einstellung Default Page wird z. B. die ausgewählte Transaktion (in unserem Beispiel MM03) beim Abruf des übergeordneten Ordners (in unserem Beispiel des Ordners Materialstamm) zuerst aufgerufen. Die Einstellung Unsichtbar bedeutet, dass die Transaktion nicht im Menü sichtbar ist, aber über einen Button aufgerufen werden kann.
Berechtigungsprüfung
Zur Pflege von Vorschlagswerten verwenden Sie die Transaktion SU24. Hier können Sie für alle Arten von Anwendungen, wie z. B. SAP-GUI-Transaktionen, RFC-Bausteinen oder Web-Dynpro-Anwendungen die Vorschlagswerte anzeigen und anpassen. Eine Möglichkeit der Pflege von Vorschlagswerten ist die Zuhilfenahme des Systemtrace, der nach Einspielen des im SAP-Hinweis 1631929 benannten Support Package sowie der Korrekturanleitung mit der Transaktion SU24 verknüpft ist. Das heißt, dass Sie aus der Transaktion SU24 heraus den Systemtrace starten, Tracedaten sammeln und diese Daten bei der Pflege direkt verwenden.
Um die vielen Informationen zum Thema SAP - und auch anderen - in einer Wissensdatenbank zu speichern, eignet sich Scribble Papers.
Das Anwendungs-Log können Sie auch über die Transaktion SLG1 (Objekt ATAX) auswerten; die Ausgabe des Reports CA_TAXLOG scheint uns hier aber zweckmäßiger. Abschließend haben wir für Sie noch einige wichtige Informationen zusammengefasst: Es gibt einzelne Programme, die rein lesend genutzt werden können, jedoch auch Optionen für Updates auf der Datenbank bieten. In diesen Fällen wurde zusätzliche Logik implementiert (z. B. im SAP-Hinweis 925217 zum Programm RFUMSV00 für die Umsatzsteuervoranmeldung). Daten des Action Logs können über die Transaktion SLG2 (Objekt: ATAX) gelöscht werden (siehe dazu auch den SAP-Hinweis 530733). Wenn Sie das Customizing für die geschäftsjahresabhängigen Berechtigungen direkt im Produktivsystem pflegen wollen (sogenannte laufende Einstellung), beschreibt der SAP-Hinweis 782707, wie Sie dabei vorgehen müssen. Grundlegende Informationen zum Thema Laufende Einstellungen enthalten die SAP-Hinweise 135028 und 356483. SAP-Hinweis 788313 beschreibt detailliert die Funktionsbausteine der Zeitraumprüfung sowie der Zusatzprotokollierung und dient auch als »Kochbuch«, um diese in kundeneigenen Entwicklungen zu nutzen. Wie Sie den Zugriff auf das SAP-Menü verhindern und dem Benutzer ausschließlich das Benutzermenü anzeigen können, haben wir in Tipp 47, »Customizing der Benutzer- und Berechtigungsverwaltung einstellen«, beschrieben.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Es gibt keine allgemeinen Risikodefinitionen; darum sollte jedes Unternehmen für sich die Compliance-Vorgaben definieren.
Sämtliche Dokumentationen sollten mit den wesentlichen Informationen (Ersteller, Datum, Version, etc.) versehen werden und in einem nicht veränderbaren Format (in der Regel PDF) vorliegen.