SAP Systeme: User Berechtigungen mit Konzept steuern
Manueller Benutzerabgleich über die Transaktion PFUD
Das Interface IF_IDENTITY der Klasse CL_IDENTITY stellt verschiedene Methoden für die Pflege der Felder des Benutzerstammsatzes zur Verfügung. Als Vorlage für die Implementierung des BAdIs können Sie das Implementierungsbeispiel CL_EXM_IM_IDENTITY_SU01_CREATE nutzen, in dem die Felder Nachname, Raumnummer, Telefon, E-Mail-Adresse, Benutzergruppe, Abrechnungsnummer und Kostenstelle der Transaktion SU01 automatisch vorbelegt werden. In dieser Beispielimplementierung ist keine externe Datenquelle vorgesehen; der Benutzername wird als Nachname gesetzt, und für die anderen Felder werden feste Werte vorbelegt. An dieser Stelle müssen Sie die Implementierung, abhängig von Ihren Anforderungen, ergänzen. Dabei gibt es verschiedene mögliche Datenquellen für die Benutzerstammdaten, die Sie aus dem BAdI aufrufen können.
Arbeiten Sie auch in einer komplexen Systemlandschaft, in der die Rollen dezentral gepflegt werden? Dann kann es durch den Transport von Profilen aus unterschiedlichen Systemen in ein Zielsystem zu Inkonsistenzen kommen. Wir zeigen Ihnen, wie Sie das verhindern. Bei dezentraler Pflege der Berechtigungsrollen, d. h. einer Pflege der Rollen in unterschiedlichen Systemen bzw. Mandanten, besteht das Risiko, dass sich die Nummernkreise für die Generierung von Berechtigungsprofilen überlappen. Sie können dann zu unterschiedlichen Rollen in unterschiedlichen Mandanten Profile mit gleichem Namen generieren. Sobald Sie diese gleichnamigen Berechtigungsprofile in ein gemeinsames Zielsystem transportieren, wird das bisherige Profil durch das neu importierte Profil überschrieben, und es entstehen Inkonsistenzen. In der Konsequenz kann es passieren, dass Sie beispielsweise einer ERP-Berechtigungsrolle ein SCMBerechtigungsprofil zuweisen. Dies kann dazu führen, dass ein Benutzer, dem die ERP-Rolle zugewiesen ist, nicht die benötigten oder sogar zu viele Berechtigungen erhält. Außerdem haben Sie ein Problem, falls Sie über das Berechtigungsprofil das Quellsystem und den Mandanten ermitteln wollen, in dem dieses Profil generiert wurde. Dies ist nicht möglich, wenn das erste und dritte Zeichen der SAP-System-ID (SID), und der Nummernkreis für die Generierung des Berechtigungsprofils übereinstimmen.
RFC-Funktionsbausteine aufrufen
Bei einem Releasewechsel steht als Nacharbeit auch die Anpassung der Berechtigungen an. Dass diese Aufgabe sehr komplex sein kann, haben Sie sicher schon einmal selbst erfahren. Viele Neuerungen erleichtern Ihnen diese Arbeit und gestalten den ganzen Vorgang transparenter. Bei einem Releasewechsel kommen häufig nicht nur neue Anwendungen hinzu, sondern auch neue bzw. veränderte Berechtigungsobjekte, Berechtigungsprüfungen und, daraus resultierend, veränderte Vorschlagswerte. Mithilfe der Transaktion SU25 können Sie Schritt für Schritt erst die Vorschlagswerte auf den aktuellen Stand bringen und anschließend alle betroffenen Rollen. Bisher war die Transaktion für Sie jedoch eher eine Art Black Box. Sie haben die einzelnen Schritte ausgeführt, ohne zu sehen, wie Ihre Vorschlagswerte oder Rollen geändert wurden. Wir zeigen Ihnen nun, wie Sie die neuen Funktionen des SAP NetWeaver Application Servers ABAP verwenden können, um mehr Transparenz beim Upgrade der Vorschlagswerte und Abmischen der PFCG-Rollen zu erhalten.
Die Freeware Scribble Papers ist ein "Zettelkasten", in dem sich Daten aller Art ablegen lassen. Er nimmt sowohl eingegebene Texte als auch Grafiken und ganze Dokumente auf. Die Daten werden dann in Ordnern und Seiten organisiert.
Wenn die ID für alle betroffenen Mandanten gepflegt ist, besteht keine Gefahr mehr, dass die sechs Ziffern gleichlauten, die ab der fünften Stelle des generierten Profilnamens verwendet werden. Weitere Informationen zum Umgang mit generierten Profilen in komplexen Systemlandschaften erhalten Sie in Tipp 54, »Generierte Profilnamen in komplexen Systemlandschaften verwalten«.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Ein Benutzer, der ein Object Privilege für ein Schema besitzt, hat damit auch das gleiche Object Privilege für alle in diesem Schema enthaltenen Objekte.
Der Programmierer einer Funktionalität bestimmt, wo, wie oder ob überhaupt Berechtigungen geprüft werden sollen.