Korrekte Einstellungen der wesentlichen Parameter
Architektur von Berechtigungskonzepten
Man kann mit der System-Trace-Funktion (Transaktion ST01) die Berechtigungsprüfungen in allen Modi aufzeichnen, wenn Trace und zu verfolgende Transaktion auf dem gleichen Anwendungsserver laufen. Es werden alle Objektfelder und deren Werte aufgezeichnet während der Prüfung der Berechtigungsobjekten.
Anschließend sollten Sie die neueste Version der Hash-Algorithmen aktivieren, indem Sie den Profilparameter login/password_downwards_compatibility auf den Wert 0 setzen. Dies ist erforderlich, da SAP-Systeme standardmäßig die Abwärtskompatibilität beibehalten. Das heißt, dass, abhängig von Ihrem Basisrelease, entweder die neuen Hash-Algorithmen bei der Speicherung der Passwörter nicht verwendet werden, oder es werden zusätzliche veraltete Hash-Werte der Passwörter gespeichert. Anschließend sollten Sie prüfen, ob es noch veraltete Hash-Werte für Passwörter in Ihrem System gibt und diese gegebenenfalls löschen. Nutzen Sie dazu den Report CLEANUP_PASSWORD_HASH_VALUES.
RSRFCCHK
Spielen Sie den SAP-Hinweis 1171185 in Ihr ZBV-System ein. Mit diesem Hinweis wird der Report RSUSR_SYSINFO_LICENSE ausgeliefert, der die Nutzertypen aus den an die ZBV angeschlossenen Systemen abruft und anzeigt. Zusätzlich muss allerdings der SAP-Hinweis 1307693, der neue Funktionalitäten der Lizenzvermessung enthält, auf den an die ZBV angeschlossenen Tochtersystemen installiert sein. Ergänzend müssen Sie gegebenenfalls die Berechtigungen der Benutzer in den RFC-Verbindungen zu den Tochtersystemen der ZBV um die Berechtigung zum Objekt S_RFC mit den Funktionsgruppen SUNI und SLIM_REMOTE_USERTYPES erweitern. Sollte der SAPHinweis 1307693 auf einem Tochtersystem nicht installiert oder die Berechtigungen des RFC-Benutzers nicht entsprechend angepasst worden sein, gibt der Report RSUSR_SYSINFO_LICENSE im Anwendungs-Log (Transaktion SLG1) eine entsprechende Warnung aus.
Partner, die ihre Entwicklungen ausliefern, pflegen die Vorschlagswerte für ihre Anwendungen ebenfalls in der Transaktion SU22. Nehmen Kunden Entwicklungen in Systemen vor, die außer Ihrer Systemlandschaft noch weitere Systemlandschaften beliefern und in denen jeweils unterschiedliche SU24- Vorschlagswerte je System benötigt werden, werden die Vorschlagswerte in der Transaktion SU22 gepflegt. Der Profilgenerator verwendet als Datenbasis nur die Werte der Transaktion SU24 in Ihrer Kundenumgebung. Zur Pflege der Vorschlagswerte können Sie in der Transaktion SU24 sowohl die Daten des Systemtrace für Berechtigungen aus den Transaktion ST01 bzw. STAUTHTRACE als auch die Daten des Berechtigungstrace verwenden (siehe Tipp 39, »Vorschlagswerte unter der Zuhilfenahme von Traceauswertungen pflegen«).
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Um die Aktualität der Profilzuordnung zu jeder Zeit sicherzustellen, sollten Sie regelmäßig einen Benutzerabgleich durchführen.
Mit der Transaktion SUIM können Sie unter Rollen, Rollen mit verschiedenen Suchkriterien durchsuchen.