権限チェック範囲の定義
SAP システムトランザクションを実行する際、さまざまな領域の処理がバックグラウンドで実行されるため、大量の権限オブジェクトがチェックされる場合があります。これらのチェックを正常に実行するためには、ユーザが必要な権限を持っている必要があります。このため、実際に必要な数よりも多くの権限を持つユーザもいます。また、これによって権限更新の負荷が高くなることもあります。
プロファイルジェネレータを使用する場合は、権限チェックの範囲を削減することができます (トランザクション SU24)。プロファイルジェネレータによってプロファイルが生成される際は、アクティビティに関連する権限がすべて選択されます。生成されたプロファイルは必ずしも完全ではありません (特に、旧リリースのプロファイルジェネレータの場合)。すなわち、プロファイルに含まれていない権限をマニュアルで追加しなければならない場合があります。(これは、サブプログラムが追加権限を必要とするような他のプログラムを呼び出すプログラムの場合です。) このような場合に、プロファイルジェネレータの管理タスクを簡素化するために、権限チェックの範囲の削減を考慮する必要があります。
PA のユーザがプログラムを呼び出し、そのプログラムによってHR ルーチンが呼び出される場合は、ユーザには対応する HR 権限が必要となります。HR コンポーネントをインストールしていない場合は、PA レポートに必要なすべての HR 権限を PA ユーザに割り当てたくないと考えます。この場合は、PA トランザクションの HR 権限に対する権限チェックを無効化することができます。
実行する権限チェックは、トランザクションのソースコードに含まれている必要があり、明示的にチェックから除外されないようにする必要があります。
プログラムコードを変更せずに権限チェックを抑制することができます。すなわち、チェックフラグを使用して権限チェックを制御することができます。また、チェックフラグを使用して、プロファイルジェネレータに表示されるオブジェクトと、権限プロファイルの自動生成前に編集のために表示される項目値を管理することもできます。
チェックフラグと権限項目値に対して SAP からデフォルトが提供されていますが、これは必ずコピーして使用します。ただし、会社の権限コンセプトを定義してから編集する必要があります。
トランザクション内の権限チェックを削減したり、チェックから権限オブジェクトをグローバルに除外したりすることができます。追加情報:
ベーシス (S_*) および人事管理 (P_*, PLOG) アプリケーションの権限オブジェクトを権限チェックから除外することはできません。これらのオブジェクトの項目値は常にチェックされます。
パラメータ、またはバリアントトランザクションについては、チェックから直接除外することはできません。対応するトランザクションの権限オブジェクトによってのみ除外?ｷることができます。
SAP システムの権限チェックの制限付き範囲の利点
上記の説明のように、権限チェックの範囲を削減することにより、プロファイルジェネレータに結びつく管理タスクを簡素化することができます。どの権限チェックを抑制するかについては、注意する必要があります。権限チェックを無効化すると、明示的に権限を付与されていないユーザがタスクを実行することができるようになります。次の場合は、できるだけ権限チェックの範囲の削減を考慮するようにしてください。
● (上記の例のように) 権限チェックに関連する権限オブジェクトを使用しない。
● オブジェクトS_TCODE の権限チェックによるコアトランザクションの保護が有効な状態である。(ただし、S_TCODE 権限チェックでは必要最低限の保護のみ提供されていますが、これだけを権限チェックを無効化する理由として考慮すべきというわけではないことに注意してください。)
● 権限オブジェクトのすべての権限項目にすべての値を許可することを回避したいと考えています。
プレースホルダ値としてアスタリスク (*) を割り当てる代わりに、特定のトランザクションの特定オブジェクトに対する権限チェックを無効化することができます。他のトランザクションの同じ権限オブジェクトに対しては、標準権限チェックを使用することができます。
権限チェックの範囲を削減すると、ユーザが必要な権限を持っていることを確認しないで、ユーザにアクティビティを実行することを許可することになります。これによって、予期しない結果が発生する可能性があります。権限チェックを無効化する前に、十分に注意して検討してください。