Welche Herausforderungen können nicht allein mithilfe von Berechtigungstools gelöst werden?
BERECHTIGUNGEN FÜR BATCH-VERARBEITUNG IM SAP NETWEAVER UND S/4HANA-UMFELD
Nach erfolgreicher Implementierung Ihrer Berechtigungsprüfung muss das neue Berechtigungsobjekt für Ihre Anwendung in der Transaktion SU24 gepflegt werden. Wird Ihre Lösung in andere Systemlandschaften verteilt, erfolgt die Pflege der Berechtigungsvorschläge in der Transaktion SU22. Mit der Berechtigungsvorschlagswertpflege gehen Sie außerdem auf Nummer sicher, dass das neue Berechtigungsobjekt bei einer Rollenanlage nicht vergessen wird, da es nun beim Aufruf der Anwendung über das Rollenmenü automatisch in die PFCG-Rolle geladen wird. Im letzten Schritt kann der Berechtigungsadministrator die PFCG-Rolle erstellen bzw. muss die bestehenden PFCG-Rollen neu abmischen.
Die Berechtigungsprüfung für das Objekt S_PATH erfolgt, wie beschrieben, nur für Dateien, die einem Pfad mit Berechtigungsgruppe in der Tabelle SPTH entsprechen. In unserem Beispiel müssten Sie daher für den Zugriff auf Dateien mit dem Pfad /tmp/myfiles* eine Berechtigung für das Objekt S_PATH mit dem Wert FILE im Feld FS_BRGRU erteilen. Beachten Sie dabei, dass das Berechtigungsobjekt nur zwei Zugriffsarten unterscheidet. In diesen beiden Werten werden die Zugriffsarten des Berechtigungsobjekt S_DATASET zusammengefasst. Der Wert Ändern entspricht den Werten Löschen, Schreiben und Schreiben mit Filter; der Wert Anzeigen entspricht den Werten Lesen und Lesen mit Filter.
Kontextabhängige Berechtigungen
Ein weiteres wesentliches Berechtigungsobjekt für die Hintergrundverarbeitung ist das Objekt S_BTCH_NAM, das einem Benutzer ermöglicht, die Steps eines Jobs unter einem anderen Benutzer laufen zu lassen (vgl. SM36 -> Step editieren). Hier kann im Benutzerfeld eines Steps ein anderer Name als der eigene eingetragen werden. Voraussetzung ist, dass der Jobeinplaner eine Berechtigung zum Objekt S_BTCH_NAM besitzt, die den Namen des Stepusers enthält, und dass der Stepbenutzer im gleichen Mandanten existiert wie der Jobeinplaner selbst. Ab 4.6C: Der Stepbenutzer muss vom Typ Dialog, Service, System oder Kommunikation sein.
Die gültigen Programme bzw. Transaktionen sind in der SAP-Auslieferungstabelle TPCPROGS hinterlegt, folgen jedoch keiner einheitlichen Namenskonvention. Teilweise ist hier der Transaktionscode (z. B. AW01N), teilweise der Reportname (z. B. RFEPOS00) oder die logische Datenbank (z. B. SAPDBADA) relevant. Logische Datenbanken (z. B. SAPDBADA, SAPDBBRF) sind grundlegende Datenselektionsprogramme und werden insbesondere in der Finanzbuchhaltung verwendet. Die Berechtigungsprüfungen – einschließlich der Zeitraumabgrenzung – sind in der logischen Datenbank implementiert und wirken für alle Reports, die auf einer logischen Datenbank basieren (z. B. basiert das Anlagengitter RAGITT00 auf SAPDBADA und der Bilanzreport RFBILA00 auf SAPDBSDF). Wenn Sie die Werte aus der Tabelle TPCPROGS kopieren, ist die Transaktion TPC4 schnell konfiguriert.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Für die Internetfreigabe von Reports ist es nötig, dass für den jeweiligen Report eine Berechtigungsgruppe gepflegt wurde.
Eine weitere Besonderheit im Rollenmenü ist die Pflege der objektbasierten Navigation.