Die Richtlinien für zulässige SAP Berechtigungen wurden geändert. Nun muss überprüft werden, ob die bestehenden Berechtigungen den neuen Richtlinien entsprechen. SAP Rollen und Benutzerkonten mit unzulässigen Berechtigungskombinationen müssen identifiziert werden, damit sie an die neuen Anforderungen angepasst werden können.

Für jede Berechtigungskombination, die nicht zulässig ist, wird eine SAP Funktion erstellt.

Tabelle 2: Beispiel für eine Berechtigungsdefinition

SAP Funktion	Funktionsargument	Berechtigungsobjekt	Feld	Wert
F-A	D1	S_TCODE	TCD	TR1,TR2
	D2	BO2	NAME	*
	D3	BO3	ACTVT	04
	D3	BO3	NAME	H_XYZ
	D4	BO3	ACTVT	04
	D4	BO3	NAME	R*
Bedingung:	D1 AND D2 AND (D3 OR D4)
F-B	D1	S_TCODE	TCD	TR3
	D2	S_TCODE	TCD	TR4,TR5
	D3	BO4	ACTVT	02
	D3	BO4	NAME	G
	D4	BO4	ACTVT	02
	D4	BO4	NAME	*
Bedingung:	(D1 AND D3) OR (D2 AND D4)

Folgende SAP Rollen sind vorhanden:

Tabelle 3: Definierte SAP Rollen

SAP Rolle	Berechtigungsobjekt	Feld	Wert
R1	BO1	ACTVT	*
	BO1	NAME	*
	BO2	NAME	GEF*
	BO3	ACTVT	*
	BO3	NAME	H_XYZ
	S_TCODE	TCD	TR1
R2	BO2	NAME	*
	BO3	ACTVT	01, 02, 04
	BO3	NAME	R_ST
	S_TCODE	TCD	TR4
R3	BO3	ACTVT	04
	BO3	NAME	H_XYZ
	BO4	ACTVT	02, 03
	BO4	NAME	*
	S_TCODE	TCD	TR6
R4	BO4	ACTVT	02
	BO4	NAME	*
	S_TCODE	TCD	TR3

Es gibt eine Sammelrolle R5, der die Einzelrollen R2 und R3 zugewiesen sind.

Tabelle 4: Definierte Sammelrolle

SAP Rolle	Berechtigungsobjekt	Feld	Wert
R5 hat über die Einzelrollen R2 und R3 nebenstehende Berechtigungen.	BO2	NAME	*
	BO3	ACTVT	01, 02, 04
	BO3	NAME	R_ST
	S_TCODE	TCD	TR4
	BO3	ACTVT	04
	BO3	NAME	H_XYZ
	BO4	ACTVT	02, 03
	BO4	NAME	*
	S_TCODE	TCD	TR6

Folgende Benutzerkonten sind vorhanden:

• Benutzerkonto K1 mit der Sammelrolle R5

• Benutzerkonto K2 mit den SAP Rollen R2 und R3

  Damit hat K2 die selben Berechtigungen wie K1.

• Benutzerkonto K3 mit der SAP Rolle R2

• Benutzerkonto K4 mit der SAP Rolle R3

Bei der Berechtigungsprüfung werden alle SAP Rollen und Benutzerkonten ermittelt, denen die Berechtigungsobjekte und Werte zugeordnet sind, die in den Berechtigungsdefinitionen aufgeführt sind. Diese Rollen und Benutzerkonten treffen die SAP Funktionen. Folgende Ergebnisse bringt die Berechtigungsprüfung, wenn der Konfigurationsparameter TargetSystem | SAPR3 | SAPRights | TestWithoutTCD deaktiviert ist.

Tabelle 5: Ergebnisse der Berechtigungsprüfung

Rollen und Benutzerkonten	SAP Funktion F-A	SAP Funktion F-B
R1	trifft Die Rolle erfüllt die Bedingung D1 and D2 and D3.	trifft nicht
R2	trifft nicht	trifft nicht
R3	trifft nicht	trifft nicht
R4	trifft nicht	trifft Die Rolle erfüllt die Bedingung D1 and D3
R5	trifft nicht	trifft Die Rolle erfüllt die Bedingung D2 and D4.
K1	trifft nicht	trifft Das Benutzerkonto erfüllt die Bedingung D2 and D4.
K2	trifft nicht	trifft Das Benutzerkonto erfüllt die Bedingung D2 and D4.
K3	trifft nicht	trifft nicht
K4	trifft nicht	trifft nicht

Die SAP Rollen R1 und R4 und die Sammelrolle R5 sowie die Benutzerkonten K1 und K2 entsprechen nicht den neuen Richtlinien und müssen daher angepasst werden.

Wenn der Konfigurationsparameter TargetSystem | SAPR3 | SAPRights | TestWithoutTCD aktiviert ist, wird das Berechtigungsobjekt S_TCODE bei der Prüfung ignoriert. Folgende Bedingungen gelten damit für die Prüfung:

• F-A: D2 AND (D3 OR D4)

• F-B: D3 OR D4

Tabelle 6: Ergebnisse der Berechtigungsprüfung, wenn TestWithoutTCD aktiviert ist

Rollen und Benutzerkonten	SAP Funktion F-A	SAP Funktion F-B
R1	trifft Die Rolle erfüllt die Bedingung D2 AND D3.	trifft nicht
R2	trifft Die Rolle erfüllt die Bedingung D2 AND D4.	trifft nicht
R3	trifft nicht	trifft Die Rolle erfüllt die Bedingung D3 OR D4.
R4	trifft nicht	trifft Die Rolle erfüllt die Bedingung D3 OR D4.
R5	trifft Die Rolle erfüllt die Bedingung D2 AND D3und auch D2 AND D4.	trifft Die Rolle erfüllt die Bedingung D3 OR D4.
K1	trifft Das Benutzerkonto erfüllt die Bedingung D2 AND D3und auch D2 AND D4.	trifft Das Benutzerkonto erfüllt die Bedingung D3 OR D4.
K2	trifft Das Benutzerkonto erfüllt die Bedingung D2 AND D3und auch D2 AND D4.	trifft Das Benutzerkonto erfüllt die Bedingung D3 OR D4.
K3	trifft Das Benutzerkonto erfüllt die Bedingung D2 AND D4.	trifft nicht
K4	trifft nicht	trifft Das Benutzerkonto erfüllt die Bedingung D3 OR D4.

Wenn für die Berechtigungsprüfung der Konfigurationsparameter TestWithoutTCD aktiviert ist, dann treffen alle SAP Rollen und Benutzerkonten mindestens eine SAP Funktion und entsprechen somit nicht den neuen Richtlinien.

Beispiel mit verschiedenen technischen Profilen

Für die Berechtigungsprüfung ist entscheidend, ob zu einer SAP Rolle ein Profil mit mehreren technischen Profilen gehört. Die Berechtigungsprüfung ermittelt, ob das für ein Funktionsargument definierte Berechtigungsobjekt mit allen Funktionselementen und Werten in einem technischen Profil vorkommt. Hat das Berechtigungsobjekt unterschiedliche Werte in verschiedenen technischen Profilen, findet die SAP Funktion die Rolle nicht. Folgendes Beispiel zeigt den Unterschied.

Tabelle 7: Definierte SAP Rollen mit technischen Profilen

SAP Rolle	Berechtigungsobjekt	Feld	Wert	Technisches Profil
R6	BO1	ACTVT	02, 03	TP1
	BO1	NAME	*
	S_TCODE	TCD	TR1, TR2
R7	BO1	ACTVT	02	TP2
	BO1	NAME	*
	S_TCODE	TCD	TR2
	BO1	ACTVT	03	TP3
	BO1	NAME	Z*
	S_TCODE	TCD	TR1

Tabelle 8: Berechtigungsdefinition

SAP Funktion	Funktionsargument	Berechtigungsobjekt	Feld	Wert
F-TP1	D1	S_TCODE	TCD	TR1
	D1	S_TCODE	TCD	TR2
	D2	BO1	NAME	*
	D3	BO1	ACTVT	02
	D3	BO1	ACTVT	03
Bedingung:	(D1 AND D2) OR (D2 AND D3)

Ergebnisse der Berechtigungsprüfung, wenn der Konfigurationsparameter TestWithoutTCD deaktiviert ist:

• Die SAP Rolle R6 trifft die SAP Funktion, da das technische Profil TP1 die Bedingung erfüllt.

• Die SAP Rolle R7 trifft die SAP Funktion nicht, da S_TCODE mit dem Wert TR1 und S_TCODE mit dem Wert TR2 zu unterschiedlichen technischen Profilen gehören. Auch BO1 mit dem Wert 02 und BO1 mit dem Wert 03 gehören zu unterschiedlichen technischen Profilen.

• Mit folgender Änderung an der SAP Funktion wird auch die Rolle R7 gefunden:

  Tabelle 9: Berechtigungsdefinition

  SAP Funktion	Funktionsargument	Berechtigungsobjekt	Feld	Wert
  F-TP2	D1	S_TCODE	TCD	TR1
  	D2	S_TCODE	TCD	TR2
  	D3	BO1	NAME	*
  	D4	BO1	ACTVT	02
  	D5	BO1	ACTVT	03
  Bedingung:	(D1 AND D2 AND D3) OR (D3 AND D4 AND D5)

Verwandte Themen

• Beispiel für Identitäten mit unzulässigen SAP Berechtigungen
• Beispiele für SAP Funktionen