S_TABU_NAM in ein Berechtigungskonzept integrieren
Werte aus der Zwischenablage in die Berechtigungsfelder der Transaktion PFCG kopieren
Auch die Vergabe von Kombinationen kritischer Berechtigungen (z.B. Rechnung buchen und Zahllauf starten), allgemein bekannt unter dem Begriff „Funktionstrennungskonflikte“, sind zu überprüfen und gegebenenfalls mit den Verantwortlichen in den Fachbereichen zu klären, warum diese im System existieren. Sollten hierfür kompensierende Kontrollen implementiert sein, ist es hilfreich, wenn auch die IT-Abteilung darüber Bescheid weiß, um den IT-Prüfer diese Kontrollen benennen zu können. Dieser kann in weiterer Folge diese Information an seine Prüferkollegen weitergeben.
Der Einfachheit halber möchten wir dieses Beispiel anhand des Hintergrundjobs PFCG_TIME_DEPENDENCY erläutern. Dieser Job ruft den Report RHAUTUPD_NEW auf bzw. kann auch mit der Transaktion PFUD direkt ausgeführt werden. Stellen Sie sich vor, dass es für diesen Job noch keinen Transaktionscode gäbe.
Ungeklärte Zuständigkeiten, besonders zwischen Fachbereich und IT
Wie ist es möglich, von einer Transaktion in eine andere zu springen, ohne dass die Berechtigung für die Zieltransaktion geprüft wird? Mit der Anweisung CALL TRANSACTION! In diesem Tipp erläutern wir Ihnen, wie Sie Berechtigungen für Absprünge von einer Transaktion in eine andere über den ABAP-Befehl CALL TRANSACTION vergeben bzw. aktiv bestimmen können, welche Prüfungen durchgeführt werden sollen. Bei der Anweisung CALL TRANSACTION wird die Berechtigung des Benutzers zur Ausführung der aufgerufenen Transaktion nicht automatisch überprüft. Falls keine Überprüfung im aufgerufenen Programm stattfindet, muss diese im aufrufenden Programm durch zusätzliche Funktionsbausteine für die Berechtigungsprüfung eingebaut werden.
Für das Szenario des Versands von Initialpasswörtern ist die Signierung von E-Mails nicht so relevant. Es besteht zwar die Möglichkeit, eine verschlüsselte E-Mail mit gefälschter Absenderadresse zu verschicken, in diesem Fall würden aber die enthaltenen Initialpasswörter im System nicht funktionieren. Anders sieht es aus, wenn Sie Geschäftsdaten versenden; in solchen Fällen ist die Verifikation des Absenders über eine digitale Signatur empfehlenswert. Sollten Sie also E-Mails digital signiert versenden wollen, raten wir Ihnen, sie unter der E-Mail-Adresse des Systems zu versenden. Nutzen Sie dafür die beschriebene Methode SEND_EMAIL_FOR_USER und setzen Sie dort das Kennzeichen für den Absender auf das System. Für diesen Fall brauchen Sie ein Public-Key-Schlüsselpaar für Ihr ABAP-System, das als persönliche Systemsicherheitsumgebung (PSE) abgelegt wird. Eine detaillierte Beschreibung der Konfiguration, auch für die Verifikation und Entschlüsselung von empfangenen E-Mails, finden Sie in der SAP-Onlinehilfe unter http://help.sap.com/saphelp_nw73ehp1/helpdata/en/d2/7c5672be474525b7aed5559524a282/frameset.htm und im SAP-Hinweis 1637415.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Solange die entsprechenden Tests sowohl im Entwicklungs- als auch im Qualitätssicherungssystem nicht abgeschlossen sind, wird den Testern zusätzlich zu ihren bisherigen Rollen das Profil SAP_NEW zugewiesen.
Mithilfe des Reports CRMD_UI_ROLE_PREPARE werden alle im Customizing der CRM-Business-Rolle definierten externen Services identifiziert und aufgelistet.