Nach fehlenden Berechtigungen tracen
Auswertungen von Berechtigungen und Benutzerstammsätzen
Nachdem Sie die Daten für die Webseite ermittelt haben, müssen Sie nun das Initialpasswort generieren und per E-Mail verschicken sowie gegebenenfalls den Benutzer entsperren. Dafür gibt es ebenfalls unterschiedliche Lösungen – wir beschreiben eine mögliche Vorgehensweise. Die Generierung eines Passworts können Sie über den Importparameter GENERATE_PWD des BAPIs BAPI_USER_CHANGE veranlassen. Das generierte Passwort wird dann als Initialpasswort gesetzt und muss bei der nächsten Anmeldung durch den Benutzer geändert werden. Außerdem müssen Sie den Importparameter PASSWORDX setzen, um eine Änderung am Passwort anzuzeigen. Über den Exportparameter GENERATED_PASSWORD wird das generierte Passwort zurückgegeben. Dies ist erforderlich, wenn Sie das BAPI BAPI_USER_CHANGE aus einem zentralen System (z. B. aus der ZBV) aufrufen und die betreffende E-Mail aus diesem System verschicken wollen. Sie sollten dieses Passwort niemals speichern, sondern es direkt in Ihrer Anwendung in eine E-Mail einbinden. Anschließend verschicken Sie diese E-Mail an den Benutzer, dessen E-Mail-Adresse Sie entweder direkt im SAP-System ermitteln (Parameter ADDSMTP von BAPI_USER_GET_DETAIL) oder im Rahmen Ihrer Webanwendung (z. B. aus dem AD). Auch wenn Sie die E-Mail-Adresse im AD ermitteln, raten wir Ihnen davon ab, die E-Mail auch von dort aus zu versenden. Initiieren Sie den Versand lieber im Rahmen Ihres zentralen SAPSystems, um zu vermeiden dass das Passwort unnötig übertragen wird. Außerdem raten wir Ihnen dringend, die E-Mails mit den Initialpasswörtern verschlüsselt zu verschicken. Dazu muss die Implementierung Ihres Self-Services bei der Erstellung der E-Mail das Kennzeichen für die Verschlüsselung setzen. Details zur Verschlüsselung von E-Mails und einen alternativen Versand des Initialpassworts direkt aus dem betroffenen SAP-System beschreiben wir in Tipp 98, »E-Mails verschlüsseln«.
Die Berechtigungsprüfung auf der Ebene des Funktionsbausteins können Sie nutzen, indem Sie im Berechtigungsobjekt S_RFC im Feld RFC_TYPE (Typ des zu schützenden RFC-Objekts) den Wert FUNC (Funktionsbaustein) eintragen. Wollen Sie weiterhin Funktionsgruppen berechtigen, geben Sie hier den Wert FUGR an. Abhängig von der Ausprägung des Feldes RFC_TYPE geben Sie dann im Feld RFC_NAME (Name des zu schützenden RFC-Objekts) den Namen des Funktionsbausteins oder der Funktionsgruppe an. Diese Erweiterung der Prüfung wird durch die Korrektur im SAP-Hinweis 931251 ausgeliefert.
SAP-BERECHTIGUNGEN: DIE 7 WICHTIGSTEN REPORTS
Umfangreiche Berechtigungen für die Transaktionen SCC4 und SE06 sollten Sie nicht an interne und externe Revisoren vergeben, nur damit diese die Systemänderbarkeit einsehen können. Wir stellen Ihnen den Report vor, der zur Anzeige der Systemänderbarkeit nur die Berechtigungen erfordert, die ein Revisor üblicherweise hat. Es gibt verschiedene Personen, die die Einstellungen zur Systemänderbarkeit in Ihrem System aus bestimmten Gründen einsehen möchten. Dies können Mitarbeiter der internen Revision, Wirtschaftsprüfer oder auch Entwickler sein. Die Anzeige dieser Einstellungen, z. B. über die Transaktionen SCC4 oder SE06 ist an sich unkritisch; allerdings waren dafür bisher Berechtigungen notwendig, die dem soeben beschriebenen Personenkreis üblicherweise nicht zugeordnet werden. Seit SAP NetWeaver 7.0 gibt es alternativ einen Report, der die Einstellungen zur Systemänderbarkeit anzeigt. Dieser Report erfordert nur Anzeigeberechtigungen, die dem oben beschriebenen Personenkreis ohne Bedenken zugeordnet werden können. Die Anwendung dieses Reports und die erforderlichen Berechtigungen stellen wir Ihnen an dieser Stelle vor.
Mit dem SAP-Hinweis 1720401 wird die Transaktion SU10 (Massenpflege von Benutzern) um die bislang fehlende Möglichkeit erweitert, Benutzer nach Anmeldedatum und Passwortänderungen zu selektieren. Mit dem Hinweis wird der Report RSUSR200 um diese Funktionen ergänzt. Dieser Report kann mithilfe der Transaktion SU10 und der entsprechenden Berechtigung auch direkt ausgeführt werden. Nach dem Einspielen des Hinweises wird die Transaktion SU10 um den Button Anmeldedaten erweitert.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Das angezeigte Ergebnis liefert eine gute Übersicht über die involvierten Berechtigungen.
Der Aufruf erfolgt über die Transaktion SE37.