Die neue SAP Transaktion SU53 – Zu Risiken und Nebenwirkungen…
Die neue SAP Transaktion SU53 hat auch Nebenwirkungen: der angezeigte Trace lädt zum Interpretieren ein - manchmal mit anderen Ergebnissen als bei einem normalen Berechtigungstrace. Bei einem Kunden hat dies zu einer unerwünschten Berechtigungserweiterung geführt.Die Nutzung der SU53 ist bei vielen SAP Anwendern schon in Fleisch und Blut übergegangen. Ein Glück, denn sie liefert dem Berechtigungsexperten oft den einzigen Anhaltspunkt wann und wo ungefähr eine Transaktion an einer fehlenden Berechtigung gescheitert ist. Die neue SU53 liefert in der neuen Version eine Liste der letzten fehlgeschlagenen Berechtigungsprüfungen, eine Art Mini-Trace.
Der Incident
Der Kunde erhielt einen Berechtigungsfehler beim Aufruf einer Transaktion und hat sich beim ServiceDesk gemeldet. Die Kollegen haben in einer Remote Session den Kunden aufgefordert sich ab- und wieder anzumelden und danach die problematische Transaktion aufzurufen. In der SU53 konnte man danach eine Prüfung auf die Berechtigungsobjekte S_SCR und auf S_TCODE sehen.
Ich habe daraufhin den Trace aus der SU53 analysiert und geprüft. Die eigentlich fehlende Transaktion (aus S_TCODE) war an dieser Stelle unstrittig und wurde von mir ergänzt. Allerdings habe ich auch S_SCR in der Systemrolle ergänzt.
Was ist daran falsch?
Der Kunde setzt sapgui/user_scripting_per_user ein, dieser Profilparameter erlaubt es pro User SAP Gui Scripting zu erlauben. Dieses wird bei jedem Login des Users abgefragt und tauchte somit auch im Mini-Trace des Kunden unmittelbar vor der S_TCODE Prüfung auf. Ich habe die Reihenfolge in der SU53 falsch gelesen (die letzte Prüfung ist ganz oben) und dadurch fälschlicherweise S_SCR ergänzt.
Autoren Expert Session
Konsequenzen
Bei der Auswertung der neuen SU53 muss sehr genau auf die Zeitstempel und die eigentliche Reihenfolge geachtet werden. Bei einem richtigen Trace hätte ich mir die positiven Prüfungen zusätzlich angezeigt und sofort gesehen, dass das eine Prüfung beim Login gewesen ist. Da nur fehlgeschlagene Prüfungen angezeigt werden, ist die Abgrenzung bei vielen schnell aufeinanderfolgenden Schritten schwierig und muss daher über die Anzahl der Sekunden zwischen den Prüfungen erfolgen. Im Zweifelsfalle gilt daher wie bisher: den Kunden anrufen und mittracen.
Was haben Sie für Erfahrungen zum Thema Transaktion SU53 gemacht? Ich freue mich auf Ihr Feedback.
Sie benötigen Unterstützung bei der Umsetzung? Unser Autor Tobias Harmes ist Berater für dieses Thema. Fragen Sie ihn an über das RZ10.de Partnerprodukt Berater für SAP Berechtigungen und Security
