Berechtigungskonzept des AS ABAP
Das ABAP-Berechtigungskonzept schützt Transaktionen, Programme und Services in SAP-Systemen vor unberechtigtem Zugriff. Auf der Grundlage des Berechtigungskonzepts vergibt der Administrator den Benutzern Berechtigungen, die festlegen, welche Aktionen ein Benutzer im SAP-System ausführen darf, nachdem er sich am System angemeldet hat und authentifiziert wurde.
Um auf betriebswirtschaftliche Objekte zuzugreifen oder SAP-Transaktionen auszuführen, benötigt ein Benutzer entsprechende Berechtigungen, da betriebswirtschaftliche Objekte oder Transaktionen durch Berechtigungsobjekte geschützt sind. Die Berechtigungen stellen Instanzen der generischen Berechtigungsobjekte dar und sind je nach Tätigkeit und Zuständigkeit des Mitarbeiters ausgeprägt. Die Berechtigungen werden in einem Berechtigungsprofil zusammengefasst, das zu einer Rolle gehört. Die Benutzeradministratoren weisen dem Mitarbeiter dann über den Benutzerstammsatz die entsprechenden Rollen zu, damit dieser für seine Aufgaben im Unternehmen die jeweiligen Transaktionen nutzen kann.
Die folgende Grafik zeigt die Berechtigungskomponenten und verdeutlicht ihre Beziehung untereinander.
Erläuterungen zur Grafik
Begriff |
Kommentar |
Benutzerstammsatz |
Dient der Anmeldung am SAP-System und gewährt über die in der Rolle angegebenen Berechtigungsprofile einen eingeschränkten Zugriff auf die Funktionen und Objekte des SAP-Systems. Der Benutzerstammsatz enthält sämtliche Informationen zu dem entsprechenden Benutzer, einschließlich der Berechtigungen. Änderungen werden erst bei der nächsten Anmeldung des Benutzers am System wirksam. Zum Zeitpunkt der Änderung bereits angemeldete Benutzer sind von den Änderungen nicht betroffen. |
Einzelrolle |
Wird mit dem Werkzeug der Rollenverwaltung erstellt und ermöglicht die automatische Generierung eines Berechtigungsprofils. Die Rolle enthält die Berechtigungsdaten und das Anmeldemenü der Benutzer. |
Sammelrolle |
Besteht aus beliebig vielen Einzelrollen. |
generiertes Berechtigungsprofil |
Wird in der Rollenverwaltung aus den Daten der Rolle generiert. |
manuelles Berechtigungsprofil |
Um den Bearbeitungsaufwand bei Verwendung manueller Berechtigungsprofile zu minimieren, tragen Sie meist nicht einzelne Berechtigungen, sondern zu Berechtigungsprofilen zusammengefasste Berechtigungen in den Benutzerstammsatz ein. Änderungen an Zugriffsrechten werden für alle Benutzer wirksam, deren Benutzerstammsatz das Profil enthält, sobald sie sich das nächste Mal am System anmelden. Bereits angemeldete Benutzer sind also zunächst nicht von Änderungen betroffen.
Wir empfehlen Ihnen dringend, die Profile nicht manuell, sondern automatisch mit dem Werkzeug der Rollenverwaltung zuzuordnen. |
Sammelprofil |
Besteht aus beliebig vielen manuellen Berechtigungsprofilen. |
Berechtigung |
Ausprägung eines Berechtigungsobjekts, d. h. eine Kombination zulässiger Werte zu jedem Berechtigungsfeld des Berechtigungsobjekts. Eine Berechtigung ist eine Ermächtigung, auf der Grundlage eines Satzes von Werten für die einzelnen Felder eines Berechtigungsobjekts eine bestimmte Aktion im SAP-System durchzuführen. Mit der Berechtigung können Sie beliebig viele Einzelwerte oder Wertebereiche für ein Feld eines Berechtigungsobjekts festlegen. Sie können auch alle Werte zulassen oder ein leeres Feld als zulässigen Wert erlauben. Wenn Sie Berechtigungen ändern, sind davon alle Benutzer betroffen, deren Berechtigungsprofil diese Berechtigungen enthält. Als Systemadministrator haben Sie folgende Möglichkeiten, Berechtigungen zu bearbeiten: ● Mit der Rollenverwaltung können Sie die Vorschläge von SAP für die Feldwerte ergänzen und ändern. ● Sie können Berechtigungen manuell ändern. Diese Änderungen sind für die entsprechenden Benutzer wirksam, sobald Sie die Berechtigung aktivieren. Der Programmierer einer Funktionalität bestimmt, wo, wie oder ob überhaupt Berechtigungen geprüft werden sollen. Das Programm ermittelt, ob der Benutzer eine ausreichende Berechtigung für eine bestimmte Aktivität hat. Dazu vergleicht es die im Programm vorgegebenen Feldwerte für das Berechtigungsobjekt mit den in den Berechtigungen des Benutzerstammsatzes enthaltenen Werten. Die Zeile der Berechtigung ist gelb markiert. |
Berechtigungsobjekt |
Ein Berechtigungsobjekt kann bis zu zehn Berechtigungsfelder umfassen, die in UND-Verknüpfung geprüft werden. Berechtigungsobjekte ermöglichen komplexe, an mehrere Bedingungen gebundene Prüfungen einer Berechtigung, die einem Benutzer erlaubt, eine Aktion durchzuführen. Um eine Berechtigungsprüfung zu bestehen, müssen im Benutzerstammsatz alle Feldwerte des Berechtigungsobjekts entsprechend eingetragen sein. Der Übersichtlichkeit halber werden Berechtigungsobjekte in Klassen unterteilt. Eine Objektklasse ist eine logische Zusammenfassung von Berechtigungsobjekten und entspricht z. B. einer Anwendung (Finanzbuchhaltung, Personalwesen usw.). Die Zeile der Berechtigungsobjektklasse ist orange markiert. Informationen zur Bearbeitung der Berechtigungswerte erhalten Sie per Doppelklick auf ein Berechtigungsobjekt. Die Zeile des Berechtigungsobjekts ist grün markiert. |
Berechtigungsfeld |
Enthält den von Ihnen definierten Wert. Es ist mit im ABAP Dictionary abgelegten Datenelementen verbunden. |
Die Objekte (z. B. Berechtigungen, Profile, Benutzerstammsätze oder Rollen) werden pro Mandant zugewiesen. Weitere Informationen über den Transport dieser Objekte von einem Mandanten in einen anderen oder einem System in ein anderes erhalten Sie in der SAP-Bibliothek in den Abschnitten Berechtigungskomponenten transportieren und Change and Transport System (BC-CTS).
Wenn Sie eigene Transaktionen oder Programme entwickeln, müssen Sie die Berechtigungsprüfungen selbst in Ihre Entwicklungen einfügen (siehe Berechtigungsprüfungen in Eigenentwicklungen).
Um die Berechtigungsstrategie erfolgreich umsetzen zu können, benötigen Sie einen zuverlässigen Berechtigungsplan. Hierfür müssen Sie zunächst festlegen, welche Benutzer welche Aufgaben im SAP-System durchführen dürfen. Danach müssen Sie jedem Benutzer im SAP-System die für die Aufgaben erforderlichen Berechtigungen zuweisen.
Die Ausarbeitung eines soliden und zuverlässigen Berechtigungsplans ist ein stetiger Prozess. Wir empfehlen Ihnen, den Berechtigungsplan regelmäßig zu überarbeiten, damit er stets Ihren Anforderungen entspricht. Definieren Sie die Standardrollen und ‑vorgehensweisen zum Anlegen und Zuweisen von Rollen, Profilen und Berechtigungen.
Siehe auch:
● Berechtigungsprüfungen in Eigenentwicklungen