Способы «взлома» системы SAP

Представьте, что у вас есть продуктив, где права порезаны. Надо поменять данные в системе (исправить ошибку). Легальные пути все знают. А если надо? Ниже мои варианты, которые могут работать или нет в зависимости от того, насколько хорошо настроена безопасность в системе:

  • Доступ к таблицам через SE16N
  • Создание программы и выполнение кода
  • Создание инфо-набора, и в разделе кода прописать ABAP код (не нужен ключ разработчика)
  • Создание LSMW для изменения данных путем формирования IDOC И его обработки
  • Прямой вызов функционального модуля через SE37
  • Изменение через отладчик
  • Вызов веб-сервиса извне (они могут выполняться под системным пользователем)
  • Выполнение ITS сервиса, который меняет данные (если есть такой) через транзакцию SICF

Данные способы «взлома» системы SAP нужно рассматривать исключительно в образовательных целях и не использовать на промышленных системах. Автор не несет ответственности за последствия причиненные третьим лицам.


Инфотип 0130 Полномочия

Привет.

Для своих читателей решил протестировать механизм ограничения доступа к изменению данных прошлым периодом — инфотип 0130. Вы знаете, что обычными полномочиями мы не можем регулировать доступ во временном пространстве. Если есть доступ на изменение, то изменить можно записи в прошлом, настоящем и будущем. А если нам нужно закрыть возможность изменять данные в «закрытых» периодах? Для этого есть инфотип 0130.

Процедура проверки — подтип инфотипа 130. К процедуре присваиваются инфотипы и подтипы, который мы хотим ограничить. Например, проверка называется «Временные данные», а к ней присваиваем инфотипы 7, 2001, 2002, 2003. Таким образом работник не сможет изменять данные в этих инфотипах в прошлых периодах.

Активировать механизм нужно в транзакции OOAC ключ AUTSW APPRO.

Сама процедура проста. Для табельных номеров, которым нужно ограничить изменение в прошлом периоде(-ах) создается запись инфотипа 0130 с подтипом «Временные данные» (или другим, какой вы определите). В инфотипе указывается дата, до которой нельзя вносить изменения. Например, если это 1 мая 2014 года, то этому табельному номеру нельзя внести данные до 1 мая 2014 года по временным инфотипам.

Для создания инфотипа 0130 можно воспользоваться LSMW.

Для массового изменения даты деблокирования для ввода данных в 130 инфотипе есть программа RPTAPPU0. Она показывает баланс рабочего времени за период, и по кнопочке может установить новую дату деблокирования.

При этом для корректной работы системы нужно на уровне полномочий (объект P_ORGIN) разделить доступ к инфотипу 0130 и его подтипам. Всем, кто вводит данные, дать права на чтение. А тому, кто деблокирует (изменяет дату, до которой нельзя будут вносить изменения), дать права на изменение.