Automatische Synchronisation in der Zentralen Benutzerverwaltung verwenden
User- & Berechtigungs-Management mit SIVIS as a Service
Dabei müssen Sie die Vorlage an die Gegebenheiten in Ihrem Unternehmen anpassen, also vermutlich die Ablage der Zertifikate abhängig von der Namenskonvention für Ihre Benutzer definieren und die Prüfung der Zertifikate anpassen. Diese Prüfung der Zertifikate stellt in der Vorlage sicher, dass keine bereits vorhandenen Zertifikate hinzugefügt werden und nur ein Zertifikat zu einer E-Mail-Adresse eingetragen wird. Diese Prüfung ist notwendig, da der Versand einer verschlüsselten E-Mail abgebrochen wird, wenn mehr als ein gültiges Zertifikat zu einer E-Mail-Adresse gefunden wurde. Über dieses kundeneigene Programm können Sie Massenimporte der Zertifikate abbilden. Zusätzlich müssen Sie aber auch eine Vorgehensweise für die Verwaltung von Zertifikaten in Ihrem Unternehmen definieren, d. h. sich überlegen, wie Änderungen an den Zertifikaten in das SAP-System übertragen werden können.
Die Prüfung auf die Vergabe des Profils SAP_ALL erfolgt im SOS anders als im EWA: Wird ein Benutzer gefunden, dem SAP_ALL zugewiesen wurde und den Sie nicht in der entsprechenden Whitelist eingetragen haben, wird er trotzdem in den nachfolgenden Berechtigungsprüfungen ausgeblendet. Die Ausgabe der identifizierten Benutzer erfolgt entweder durch eine vollständige Liste oder durch Beispiele konkreter Benutzer. In beiden Fällen können Sie die vollständige Liste in der Transaktion ST14 des SAP Solution Managers herunterladen. Die Zuordnung der Benutzerlisten zu den Berechtigungsprüfungen können Sie über die Check-ID herstellen. Allerdings sollten Sie beachten, dass in diesen Listen die Auswertungen der Whitelists noch nicht enthalten sind.
Lizenzdaten über die Zentrale Benutzerverwaltung auswerten
Die Zuweisung der Rollen beinhaltet keine Besonderheiten. Daher behandeln wir im Folgenden ausschließlich die Themen Zeitraumabgrenzung und Protokollierung. Die Zeitraumprüfung ist als zusätzlicher Filter implementiert, der nach den üblichen Berechtigungsprüfungen abläuft. Diese zusätzliche Filterlogik arbeitet folgendermaßen: Zunächst wird geprüft, ob der Benutzer in der Tabelle für Steuerprüfer eingetragen ist (Tabelle TPCUSERN, Konfiguration mit der Transaktion TPC2). Nur dann werden die weiteren Prüfschritte durchlaufen. Falls nicht, finden keine Zusatzprüfungen statt. Anschließend wird geprüft, ob das aufgerufene Programm in der Tabelle der zulässigen Programme enthalten ist (Tabelle TPCPROG, Konfiguration mit der Transaktion TPC4). Bei negativer Prüfung bricht das System mit einem Berechtigungsfehler ab. Die Zeitraumprüfung erfolgt gegen die gültigen Intervalle in der Tabelle TPCDATEN (Konfiguration mit der Transaktion TPC6). Die Zeitraumprüfung arbeitet dabei kontextabhängig: Neben den Belegen des Prüfungszeitraums werden auch ältere Belege mitangezeigt, wenn sie noch für den Prüfungszeitraum relevant sind, z. B. offene Posten, die zwar in früheren Jahren gebucht, aber erst im Prüfungszeitraum ausgeglichen wurden. Datensätze, die gemäß der beschriebenen Logik nicht in den gültigen Zeitraum fallen, werden herausgefiltert.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite "www.sap-corner.de".
Dies geht nun einfacher, indem Sie die Sicherheitsrichtlinien in Kombination mit dem Profilparameter login/server_logon_restriction nutzen.