FAQ
Berechtigung zum Zugriff auf Web-Dynpro-Anwendungen mit S_START einrichten
Den Systemtrace für Berechtigungen nach und nach für jeden Anwendungsserver auszuführen, ist mühselig. Wir zeigen Ihnen daher, wie Sie Berechtigungsprüfungen auf mehreren Servern gleichzeitig aufzeichnen können. Wenn Sie in einem System mit mehreren Anwendungsservern den Systemtrace für Berechtigungen verwenden möchten, müssen Sie beachten, dass der Trace immer nur Daten je Anwendungsserver protokollieren und auswerten kann. Berechtigungsadministratoren müssen daher bei einem Berechtigungsfehler erst prüfen, auf welchem Anwendungsserver der Anwender mit dem Berechtigungsproblem angemeldet ist, um dann den Trace auf diesem Anwendungsserver zu starten. Wir geben Ihnen hier eine Anleitung zum Aufzeichnen von Berechtigungsprüfungen auf bestimmten Anwendungsservern, zeigen Ihnen aber darüber hinaus auch eine Möglichkeit, um diese Funktion zentral zu nutzen.
Wenn Sie Referenzbenutzer verwenden möchten und Sie das Benutzermenü nutzen, sollten Sie zusätzlich dafür sorgen, dass die Anwender auch die den Referenzbenutzern zugeordneten Rollenmenüs sehen. Spielen Sie dafür die Korrekturen im SAP Hinweis 1947910 ein. Sie beinhalten zwei Schalter für das Customizing in der Tabelle SSM_CUST.
Ein Konzept für SAP-Berechtigungen beugt Systemfehlern und DSGVO-Verstößen vor
Kommunikationsbenutzer sind ebenfalls für die Verwendung durch Personen gedacht, die sich von außerhalb per RFC-Aufruf am SAP-System anmelden. Daher ist keine Dialoganmeldung möglich. Wird das Passwort vom Administrator gesetzt, erhält es den Status Initial. Jedoch wird der Benutzer bei einem RFC-Aufruf nicht dazu aufgefordert, das Passwort zu ändern. Es behält daher häufig diesen Status, auch wenn der Benutzer durch den RFC-Aufruf eines Funktionsbausteins die Möglichkeit hat, das Passwort zu ändern (dann: Status Produktiv). Die Passwortregeln greifen für diesen Benutzertyp. Allerdings fällt dies in der Praxis häufig nicht auf, da Passwortregeln für Initialpasswörter weniger genutzt werden.
Die Änderungen, die durch das Einspielen des Hinweises bzw. durch ein Upgrade auf die genannten Support Packages entstehen, betreffen nicht nur das Profil SAP_ALL. Es bleibt zwar grundsätzlich weiterhin möglich, die Gesamtberechtigung für die Felder RFC_SYSID, RFC_CLIENT und RFC_USER zu vergeben; dies kann jedoch nur noch manuell in der Transaktion PFCG über die Dialogpflege der Felder erfolgen. In diesem Fall öffnet sich ein weiteres Dialogfenster, in dem auf das Sicherheitsrisiko hingewiesen wird. Dieses Fenster müssen Sie bestätigen. Aus dieser Umstellung des Verhaltens des Profils SAP_ALL folgt, dass sämtliche automatischen Methoden für die Übernahme der Gesamtberechtigung in den Feldern des Berechtigungsobjekts S_RFCACL nicht mehr zur Verfügung stehen.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Dabei war die Pflege der Berechtigungsobjekte bisher sehr unhandlich.
Suchen Sie dazu innerhalb der Personaldaten nach einer Personalnummer, die im Subtyp Systembenutzername SAP-System (0001) des Infotyps Kommunikation (0105) diese Benutzer-ID eingetragen hat.