de en en en de tr de de de de de de de de de de en en en en en en en en en en en en en de en en de en en en nb de en de de de de de en en en en en en de en de de en it en en de de en de en en en de ca en en en de de de en de de de en de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de de en de de de de en de en de de de de de fr en fr en it en sv en de de de de de en de de it de de de de de fr en fr en it en sv en de ca de de en
Da genau dieses Aufschlüsseln und Wissen der Anwendbarkeit die Grundlagen für die Berechtigungsanalyse darstellen, möchte ich Ihnen in diesem Blog einen allgemeinen Überblick zum Systemtrace mittels Transaktionen STAUTHTRACE bzw. ST01 vorstellen. Alleine schon die Unterscheidung der nutzbaren Applikationen ist für die weitere Analyse essenziell. Daher gehe ich zunächst auf die technischen Details und Möglichkeiten dieses Trace-Typs ein. Danach wird ein alltagstaugliches Fallbeispiel mittels der Transaktion STAUTHTRACE unter die Lupe genommen.
Der wohl bekannteste Trace im Kontext der SAP-Berechtigungen ist das mandantenabhängige Systemtrace für Berechtigungsprüfungen. Dafür stellt die SAP die Transaktionen STAUTHTRACE und ST01 bereit. Während der klassische Systemtrace per Transaktion ST01 ein rein applikationsserverabhängiger Trace ist, können Sie mittels Transaktion STAUTHTRACE sogar einen  applikationsserverunabhängigen Trace fahren. Dafür wählen Sie zunächst über den Button “Systemweiter Trace” die jeweiligen Applikationsserver (AS) aus, auf denen das Trace erfolgen soll (Abbildung 1).
Abbildung 1: Systemweiter Trace per Transaktion STAUTHTRACE
Dann starten Sie diesen aus diesem Auswahlfenster heraus (Abbildung 2).
Abbildung 2: Systemweiter Trace – Auswahl der AS
Mit der Transaktion ST01 können Sie eine detailliertere Selektion für das Trace nutzen und bspw. in der Rubrik „allgemeine Filter“ auf bestimmte Transaktionen oder Programme filtern (Abbildung 3). Jedoch müssen Sie den Trace über diese Applikation immer auf dem Applikationsserver starten, auf dem er und die darauffolgende Analyse erfolgen soll.
Abbildung 3: Systemtrace – Selektionsmöglichkeiten in Transaktion ST01
Im Gegensatz dazu können Sie mit der Transaktion STAUTHTRACE ein systemweites Trace fahren, der alle berechtigungsspezifischen Applikationsserverdaten (je nach vorheriger Trace-Konfiguration) aufzeichnet und mithilfe der detaillierten Auswertungsmöglichkeiten eine zielgerichtete Analyse ermöglicht (Abbildung 4). Systemweit bedeutet hierbei, dass Sie nicht an einen AS gebunden sind, sondern gleichzeitig weitere AS auswählen und gesamtheitlich tracen können ohne den Trace wie bei der Transaktion ST01 auf jeden AS manuell starten zu müssen.
Außerdem bietet die Applikation STAUTHTRACE zusätzlich das aufgeräumte ALV-Raster mit Absprüngen nicht nur in den Source Code, sondern auch in die Berechtigungsobjektdokumentationen. Hinzu kommen Möglichkeiten, direkt in die Transaktionen SU01 (Benutzerverwaltung), SU56 (Benutzerpuffer) und die CDS Zugriffskontrolle abzuspringen. Letzteres ist vor allem hilfreich, wenn Sie Fehler bei ABAP CDS Views nachvollziehen möchten (Abbildung 5). Übrigens können Sie mittels der Transaktion STAUTHTRACE auch die Systemtrace-Daten durch den Extended Passport um Kernel-Daten aus der Transaktion STAD zusätzlich anreichern (Abbildung 4). Zuletzt eignet sich der Trace mittels Transaktion STAUTHTRACE auch sehr gut für Negativ-Tests, welche bei SAP-Neueinführungen erfolgen müssen, um zu ermitteln, warum ein Benutzer etwas darf, was er eigentlich nicht tun soll.
Abbildung 5: Systemtrace-Auswertung in Transaktion STAUTHTRACE
Die Transaktion ST01 dagegen bietet Ihnen lediglich eine Fließtextauswertung an, ohne applikationsübergreifende Absprünge (Abbildung 6) und nur rudimentäre Filteroptionen bei der Auswertung.
Abbildung 6: Systemtrace-Auswertung in Transaktion ST01
Daher ist meine Empfehlung klar die Nutzung des Systemtrace per Transaktion STAUTHTRACE. Somit können Sie eine detaillierte Auswertung mit einer Vielzahl von sinnvollen Zusatzfunktionen fahren und dies auch gleichzeitig applikationsserverübergreifend.
Unabhängig davon, für welche Applikation Sie sich entscheiden, liegt das Haupteinsatzszenario des Systemtrace klar auf der Prüfung von Berechtigungsfehlern eines Endbenutzers, egal ob diese im Kontext eines Transaktionscode, Funktionsbaustein, SAP Fiori App, CDS View oder anderen Applikationen entstehen. Es ist die komfortabelste Möglichkeit schnell und zielgerichtet fehlende Berechtigungen aufzudecken und diese auf Basis der involvierten Applikationen (bspw. Transaktionen) entsprechend der „Return Codes“ zu validieren. Neben diesem Hauptzweck können Sie jedoch auch anhand der Systemtrace-Ergebnisse in der Transaktion SU24, in den Rollenmenüs und Berechtigungsprofilen die jeweiligen Berechtigungen pflegen. Dafür müssen Sie nur die in den jeweiligen Applikationen hinterlegten anwendungsübergreifenden Funktionen nutzen.
Mögliche „Return Codes“ beim Systemtrace können bspw. 0 (Erfolgreiche Berechtigungsprüfung), 4 (Nicht erfolgreiche Berechtigungsprüfung – Fehlender Berechtigungsfeldwert im vorhanden Berechtigungsobjekt) oder 12 (Nicht erfolgreiche Berechtigungsprüfung – Fehlendes Berechtigungsobjekt) sein.
Berechtigungsanalyse und -pflege mittels Berechtigungstrace
Um die Nutzung und Möglichkeiten des Systemtrace per Transaktion STAUTHTRACE näher darstellen zu können, machen wir uns ein alltägliches Fallbeispiel zu Nutzen.
Fallbeispiel: SAP-Benutzer T-ASAMBILL ist Mitarbeiter aus dem Bereich Finanzbuchhaltung der Firma ACME. Er kann aktuell aufgrund neuer Prozesse die neuen jobspezifischen Tätigkeiten nicht ausführen, weil ihm die Berechtigungen dafür fehlen. Ihm fehlt einerseits die SAP Transaktion FK10, zudem die Berechtigungen Finanzbelege für den Buchungskreis 0003 einzusehen und er kann Kreditoren nicht ändern. Die mitgelieferten Transaktion SU53 Daten sind nur bedingt nutzbar und somit entscheidet sich die Berechtigungsadministration, den Detailgrad mittels Systemtrace zu erhöhen, um diese Anforderungen ordnungsgemäß pflegen zu können.
Somit startet der Berechtigungsadministrator per Transaktion STAUTHTRACE das Trace auf dem entsprechenden Applikationsserver(n)/ Anwendungsserver mit dem Filter auf den Benutzer T-ASAMBILL und nur fehlerhafte Berechtigungen (Abbildung 7). Dafür reicht lediglich ein Klick auf den Button “Trace einschalten”.
Abbildung 7: Personenspezifischer Systemtrace-Einstellung zu Berechtigungsfehlern
Nun führt der Benutzer T-ASAMBILL die Tätigkeiten bis zu den entsprechenden Fehlermeldungen wieder aus und im Hintergrund protokolliert das System die Tracedaten für alle fehlerhaften Berechtigungsprüfungen dieses Benutzers. Der Berechtigungsadministrator deaktiviert nun das Systemstrace wieder und startet mit dessen Auswertung. Dafür selektiert er die bekannten Eckdaten des Testzeitraums und lässt sich per Klick auf „Auswerten“ die Ausgabesliste vom System aufbereiten (Abbildung 8).
Abbildung 8: Personenspezifische Systemtrace-Auswertung
Aufgrund des Trace-Filters „Trace nur für Fehler“ sieht man nun übersichtlich die fehlenden Berechtigungen für den Benutzer T-ASAMBILL. Innerhalb dieser Auswertung sind auch genau die drei Fehler aus dem Fallbeispiel zu erkennen (Abbildung 9).
Abbildung 9: Fehlerhafte Berechtigungsprüfungen des Benutzers T-ASAMBILL
Anhand der Return-Codeangabe ist klar, dass es sich hier um fehlende Berechtigungswerte für die jeweils dargestellten Berechtigungsobjekte handelt. Für die Berechtigungsadministration bedeutet das nun Folgendes:
1.     Die Transaktion FK10 fehlt im Rollenmenü der Master-Finanzbuchhalterrolle und muss nachgepflegt werden (ACME nutzt das SAP-Ableitungskonzept für Rollen).
2.     Der fehlende Buchungskreis 0003 (USA) kommt daher zustande, da T-ASAMBILL eigentlich nur für den Buchungskreis 0001 (Deutschland) berechtigt ist und ihm somit die abgeleitete Finanzbuchhalterrolle für Buchungskreis 0003 (USA) zugewiesen werden muss (Abbildung 10).
Abbildung 10: Aktuelles Rollenset des Benutzers T-ASAMBILL
3.     Aktuell fehlt die Berechtigungsfeldausprägung KRED im Berechtigungsfeld KTOKK vom Objekt F_LFA1_GRP. Diese Ausprägung muss in der Master-Finanzbuchhalterrolle nachgepflegt und repliziert werden, damit die Finanzbuchhalter per Transaktion FK02 (mit SAP S/4HANA per Transaktion BP) auch Kreditoren anpassen können.
Bevor die Berechtigungsadministration dies selbständig umsetzt, werden die Anforderungen zunächst mit dem Fachbereich abgestimmt und dann entsprechend der Vorgaben für die jeweilige Rolle in der Transaktion PFCG gepflegt.
Fazit: Das Potential des Systemtrace
Anhand dieses kleinen Fallbeispiels habe ich Ihnen deutlich gemacht, welches Potenzial die Transaktion STAUTHTRACE bzw. allgemein das Systemtrace für die Abarbeitung von Berechtigungsfehlern hat. Zudem haben Sie mit diesem Blog alle grundlegenden Informationen erhalten, um den Systemtrace auch auf technischer Ebene für den Bereich Berechtigungen nachvollziehen zu können. Die Transaktion STAUTHTRACE oder auch ST01 sind sehr hilfreiche Tools, um Ihnen schnell und einfach das Leben bei der Fehleranalyse angenehmer zu gestalten. Sie müssen lediglich beachten, wenn das Trace aktiviert wird, Sie die korrekten Daten während der Tests (bspw. auf dem QAS oder auch adhoc auf dem PRD) protokollieren lassen und dann bei der Fehleranalyse mithilfe der Return-Codes und Berechtigungsangaben die entsprechenden Fehler herauskristallisieren sowie nach Absprache pflegen.
Die von Xiting entwickelte Softwarelösung XAMS bietet hinsichtlich der SAP-Standardanalysewerkzeuge noch weitaus mehr Funktionen, um zielgerichtet und übersichtlich Trace-Daten auszuwerten. So können Sie bspw. fürs Tagesgeschäft SAP Standard-Tracedaten mittels des Xiting SU24 Checkman nutzen, um direkt fehlenden Berechtigungsvorschlagswerte für Ihre Eigenentwicklungen zu pflegen. Zudem können Sie vor allem für Rollentests, aber auch bspw. während des Go-Lives sich die einzigartige Xiting PTS (Produktive Testsimulation) oder Xiting Protected Go-Live zunutze machen. Darüber hinaus bietet die XAMS noch unzählige weitere innovative Features für Ihren Berechtigungsalltag an. Schauen Sie doch gerne Sie bei einem unserer wöchentlichen Webinare vorbei, um unsere Suite näher kennenzulernen. Zudem bieten wir auch eine Vielzahl von verschiedenen Services und Produkte an, um Sie bei der Wartung Ihres Berechtigungswesens zu unterstützen.
SAP Security Consultant | SAP Authorizations bei Xiting GmbH
Alexander Sambill’s enthusiasm for SAP Security & Authorizations makes him a passionate writer of technical and scientific articles, white papers, surveys, and more about SAP security and authorizations. He is also mainly responsible for all publications about SAP authorizations at Xiting AG. Before starting work as a certified SAP Security Consultant for Xiting, Alexander received his Master of Science (MSc.) degree in energy economics and business administration from the Technical University of Bergakademie Freiberg, Germany. During his years of work within SAP Security, he specialized himself for SAP authorizations in SAP ERP and SAP S/4HANA with SAP Fiori. Alexander leads authorization migration and redesign projects, educates customers as an official SAP trainer, and solves individual custom use cases and projects. He is also a federally certified instructor (IHK) in commerce and industry. In his free time, you will primarily find Alexander in the woods or mountains.
Letzte Artikel von Alexander Sambill (Alle anzeigen)
Benutzertrace – Was ist die Transaktion STUSERTRACE? - 8. August 2022
Berechtigungstrace für SAP-Berechtigungen – Transaktion STUSOBTRACE - 29. Juni 2022
Systemtrace: Die Transaktion STAUTHTRACE und ST01 - 13. Mai 2022
Nehmen Sie Kontakt mit uns auf!
+41 43 422 8803
+49 7656 9888 155
+1 855 594 84 64
+44 1454 838 785
In drei Schritten zur eigenen Parametertransaktion 17. August 2022
Die neusten Highlights der Xiting Fiori UI für SAP IDM  11. August 2022
Benutzertrace – Was ist die Transaktion STUSERTRACE? 8. August 2022
Nehmen Sie Kontakt mit uns auf!
Haben Sie Fragen zu unseren Produkten?
+41 43 422 8803
+49 7656 9888 155
+1 855 594 84 64
+44 1454 838 785
Besuchen Sie unsere Live-Webinare und lernen Sie von unseren Experten mehr zu SAP-Berechtigungen, XAMS, SAP IDM und zu vielen weiteren Themen im Kontext von SAP Security.