Security Automation bei SAP Security Checks
Standardberechtigung
Bei den Rollen gibt es eine Besonderheit wenn das entsprechende SAP System auf S/4HANA beruht. Während unter SAP ERP nur Rollen mit Berechtigungen für das GUI System relevant waren sind für die Anwendungen unter FIORI entsprechende Businessrollen erforderlich. Hier sind neben den Rollen in den Berechitgungsobjekte und Berechtigungswerte eingetragen werden auch sogenannte Business Rolen.
Wenn Sie Jobs anderer Benutzer abbrechen, freigeben oder in den Status geplant zurücksetzen wollen, brauchen Sie eine Berechtigung für das Objekt S_BTCH_ADM mit dem Wert Y. Alternativ können Sie neuerdings auch die Berechtigung JOBACTION = MODI und JOBGROUP = für das Objekt S_BTCH_JOB erteilen. Die Aktion MODI wurde mit SAP NetWeaver AS ABAP 7.00 eingeführt oder kann über den SAP-Hinweis 1623250 eingespielt werden. In der folgenden Abbildung sehen Sie ein Beispiel zur Ausprägung der Berechtigung JOBACTION = MODI für die Jobs der unter JOBGROUP eingetragenen Benutzer.
IKS für die Geschäftsprozesse in SAP-Systemen
Um einen Berechtigungssupport für Anwender anbieten zu können, sind Sie oft auf deren Auskünfte angewiesen. Es gibt jedoch auch die Möglichkeit, fehlende Berechtigungen für alle Anwender zentral einzusehen. Hat ein Anwender ein Berechtigungsproblem, wird in der Regel ein Ticket beim Support aufgemacht. Berechtigungsfehler sind für Supportmitarbeiter jedoch nur schwer nachzuvollziehen, da diese über andere Berechtigungen verfügen und häufig detaillierte Informationen zur Applikation, in der der Berechtigungsfehler aufgetreten ist, fehlen. In der Praxis helfen sich Supportmitarbeiter daher oft damit, den Anwender zu bitten, einen Screenshot ausder Transaktion SU53 zu schicken. Denn diese Transaktion zeigt die letzte fehlgeschlagene Berechtigungsprüfung an. In vielen Fällen sind die Informationen, die dort angezeigt werden, für den Berechtigungsadministrator jedoch gar nicht hilfreich. Sicher haben Sie es auch schon einmal erlebt, dass ein Screenshot aus der Transaktion SU53 eine fehlende Berechtigung für typische Basisberechtigungsobjekte anzeigt, wie z. B. S_ADMI_FCD, S_CTS_ADMI oder S_TRANSLAT, von denen Sie aber wissen, dass ihre Prüfung mit dem eigentlichen Berechtigungsproblem in der Anwendung gar nichts zu tun hat. Sie brauchen also die Möglichkeit, sich selbst ein Bild machen zu können.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Auf "www.sap-corner.de" finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Aus diesem Grund erfordern Transaktionen, die mit zusätzlichen Parametern aufgerufen werden, unter Umständen mehr als ein Berechtigungsobjekt und müssen unbedingt programmatisch geschützt werden.