Modul CheckAudR3
Modul CheckScanSAP
Modul CheckScanR3
Modul CheckInsR3

Beim Start des Auswertungsmoduls werde ich nach einem Benutzer und Passwort gefragt. Ich habe aber noch keinen Benutzer angelegt, wie kann ich jetzt CheckAud® starten?

Es gibt einen Standardbenutzer, der stets verfügbar ist. Die Anmeldung ist mit „Admin“ und dem Passwort „IBS“ möglich.

Beim Start des Auswertungsmoduls erhalte ich die Meldung „Kein Zugriff auf Datenbank möglich“, was ist zu tun?

Für den Start des Auswertungsmoduls ist eine Datenbank mit min. einer SAP®-System-Aufnahme notwendig. Sofern Sie noch keine Datenbank haben, erstellen Sie diese mit Scan- und Übertragungsmodul. Andernfalls überprüfen Sie, ob der richtige Pfad zur Datenbank im Auswertungsmodul angegeben ist. Verwenden Sie dazu die Schaltfläche „Einstellen der Datenbank“.

Beim Start des Auswertungsmoduls erhalte ich die Meldung „Kein Zugriff auf Datenbank möglich“und ich habe definitiv die richtige Datenbank gewählt. Was ist zu tun?

In diesem Fall wird vermutlich die Datenbank von einem bereits geöffneten Auswertungsmodul oder von einem Übertragungsmodul verwendet. Beenden Sie wenn möglich etwaige offene Module und wiederholen Sie den Vorgang.

Beim Start des Auswertungsmoduls erhalte ich die Meldung „Die Datenbank wird zur Zeit von einem anderen Programm benutzt. Bitte beenden Sie parallel laufende Programme oder warten Sie zwei Minuten bis zur automatischen Entsperrung der Datenbank “ Was ist zu tun?

Die Datenbank wird von einem bereits geöffneten Auswertungsmodul oder von einem Übertragungsmodul verwendet. Beenden Sie, wenn möglich, etwaige offene Module und wiederholen Sie den Vorgang. Die Meldung erscheint auch, wenn das Auswertungsmodul abgestürzt ist oder Sie es kurz nach dem Beenden sofort neu starten. Die Entsperrung der Datenbank erfolgt in den zwei Minuten nachdem das Programm geschlossen wurde. In dieser Zeit ist kein Zugriff auf die Datenbank möglich. Warten Sie min. zwei Minuten, bevor Sie das Auswertungsmodul neu öffnen.

Beim Start des Auswertungsmoduls erhalte ich die Meldung „Die Registrierungen dieses Programms und der Datenbank stimmen nicht überein!“. Was bedeutet diese Meldung?

Die zu öffnende Datenbank ist mit einer anderen Kundenversion von CheckAud® erstellt worden und hat daher eine andere Registrierungsnummer als das verwendete Auswertungsmodul. Der Vorgang wird aus Sicherheitsgründen nicht weiter durchgeführt. Öffnen Sie eine Datenbank, die mit Ihrer Version erstellt wurde.

Beim Start des Auswertungsmoduls wird die Ermittlung des Datenbankzustandes nicht mehr beendet. Die Ermittlung steht bei 0%, der Prozess CheckAudR3 zeigt keine CPU-Last mehr an und kann nur noch beendet werden. Was ist zu tun?

Das Verhalten kann auftreten, wenn vorher das Auswertungsmodul nicht ordnungsgemäß beendet wurde. Hier sollte sicherheitshalber die bisher verwendete Datenbank entfernt und durch eine neue ersetzt werden.

Wenn ich einen benutzerdefinierten Analysebaum öffne, erhalte ich nur leere Fenster. Weder der Analysebaum noch die Inhalte werden mir angezeigt. Wie kann das passieren?

Dieses Verhalten tritt immer dann auf, wenn die Indexdatei (*.anx) der Analysebaumdatei (*.and) nicht vorhanden ist oder eine andere Bezeichnung trägt. Für das Öffnen des Analysebaums sind immer beide Dateibestandteile in einem Verzeichnis erforderlich. Prüfen Sie ob dies der Fall ist und ob die beiden Dateien in der Bezeichnung identisch sind (bis auf die Dateiendung)!

Ich möchte bei meinen ersten Prüfungshandlungen mit CheckAud® nur prüfen, welche Benutzer welche Transaktionen ausführen dürfen. Wie kann ich das mit dem Auswertungsmodul am schnellsten herausfinden?

Dies kann über die Programmfunktion „Berechtigte Benutzer für Transaktionen“ im Menü / Kritische Berechtigungen / Berechtigte Benutzer für Transaktionen berechnet werden. Geben Sie lediglich den Transaktionscode der zu prüfenden Transaktion ein und CheckAud® berechnet eine Liste der berechtigten Benutzer.

Wenn ich meinen benutzerdefinierten Analysebaum für eine Gesamtprüfung markiere und diese starte, so wird keine Auswertung durchgeführt. Wieso wird die Gesamtprüfung nicht gestartet?

Entweder sind im für die Prüfung markierten Baum keine kritischen Berechtigungen enthalten oder die Berechtigungen enthalten keine Zusammensetzung zu prüfender Berechtigungsobjekte.

Wenn ich eine Gesamtprüfung über meinen benutzerdefinierten Analysebaum durchführe, werden nur Berechtigungen ausgewertet. Wieso werden in tabellarischen Abfragen oder Standardberichten keine Ergebnisse nach der Gesamtprüfung angezeigt?

Die Gesamtprüfung wertet stets nur kritische Berechtigungen aus. Analysebaumelemente wie Tabellen, Programmfunktionen und Standardberichte müssen weiter einzeln für die Ergebniserstellung ausgeführt werden, unabhängig von der Gesamtprüfung des Baums.

Nach einer Gesamtprüfung möchte ich meine Ergebnisse als Berichte (RTF, PDF) und als Listen (bspw. als Excel-Dokumente) einzeln pro Berechtigung abspeichern. Dabei habe ich festgestellt, dass zwar alle Berichte korrekt erstellt wurden, allerdings fehlen einige der Listenexporte. Wieso?

Prüfen Sie anhand der Berichtsexporte, ob es sich bei den fehlenden Exporten um Auswertungen handelt, die keine berechtigten Benutzer gefunden haben. Listenexporte (XLS, TXT, DBF, DBASE) werden nur dann erstellt, wenn auch berechtigte Benutzer in den Auswertungen gefunden wurden.

Als Ergebnis einer Auswertung werden mir neben berechtigten Benutzern auch Rollen, Sammelrollen, Profile und Sammelprofile in der Ergebnisliste aufgeführt. Wie habe ich dies zu bewerten?

Das Ergebnis wird gern in der Art interpretiert, dass alle aufgelisteten Rollen, Sammelrollen, Profile und Sammelprofile für die geprüfte kritische Berechtigung als berechtigt vorgefunden wurden. Dies ist aber nicht der Fall! Die angezeigten Rollen und Profile sind daran BETEILIGT dass die gefundenen Benutzer berechtigt sind. Es ist durchaus möglich, dass Rollen/Profile nicht das volle Recht mit allen notwendigen Berechtigungsobjekten bereitstellen sondern nur einzelne Objekte, welche in Kombination mit den anderen Rollen/Profilen dann das volle Recht vergeben.

Die Darstellung der gefundenen Benutzer ist für mich unzureichend, kann ich weitere Informationen wie Berechtigungsgruppe und Gültigkeit der Benutzer einblenden?

Ja, über den Einsatz von Darstellungsfiltern (Menü Verwaltung / Optionen / Filter-Darstellung) können im Reiter „Darstellung eines Benutzers“ verschiedene Informationen zum Benutzer ein- bzw. ausgeblendet werden.

In meinen Ergebnissen werden ständig Benutzer aufgelistet, die mich für meine Prüfung nicht interessieren. Können diese bei der Auswertung ausgeschlossen werden?

Ja, über den Einsatz von Berechtigungsfiltern (Menü Verwaltung / Optionen / Filter-Darstellung) können im Reiter „Filterung für Berechtigungsanalyse“ Benutzer für die Auswertung explizit ein- und/oder ausgeschlossen werden.

CheckAud® bewertet geprüfte kritische Berechtigungen immer mit „Gefahr“ bzw. dem Ampelstatus „Rot“. Das Ergebnis zeigt aber nur Benutzer auf, die diese Berechtigung wirklich haben dürfen. Wo können Sollvorgaben für Benutzer/Benutzergruppen gepflegt werden?

Sollvorgaben für die Auswertung kritischer Berechtigungen werden an jeder kritischen Berechtigung einzeln im Reiter „Prüfungseinstellungen“ gepflegt. Hier können Benutzer/Benutzergruppen explizit als berechtigt/unberechtigt eingetragen werden. Dies wird bei späteren Auswertungen von CheckAud® beachtet und dementsprechend der Ampelstatus gesetzt.

Wird ein eingeplanter Scan an den Scheduler übertragen, erscheint die Meldung: "Beim Überprüfen der Schedulerversion ist ein Problem mit der Antwort aufgetreten!" Was bedeutete diese Meldung?

Es handelt sich um eine Sicherheitsabfrage, die darauf hinweist, dass eine veraltete Version des Schedulers (CSSAPSched.exe) auf dem Rechner noch installiert ist. Die Version 3.2 kann nicht mit älteren Diensten zusammenarbeiten. Daher muss zwingend über die Schedulerverwaltung der aktuelle Dienst installiert werden.

Ein eingeplanter oder manueller Scan startet nicht, es werden weder Scanfiles erstellt noch ist der Prozess CheckScanR3.exe im Taskmanager sichtbar. Wie kann ich die Ursache feststellen?

Überprüfen Sie ob:

• die korrekten Verbindungsdaten (SAP® Host, System, Mandant) angegeben wurden, ggf. prüfen Sie die Problems.txt auf Einträge
• die korrekten Anmeldedaten (Benutzer/Passwort) eingegeben wurden, ggf. prüfen Sie die Problems.txt auf Einträge zu Benutzer/Passwort
• die Problems.txt ist zu finden unter C:\Programme\IBS Schreiber GmbH\CheckScan for SAP Systems Version 3.2

Der Scheduler-Dienst lässt sich nicht über die Schedulerverwaltung installieren. Was kann ich tun?

Installieren Sie testweise den Dienst über die Kommandozeile. Diese im Pfad C:\Programme\IBS Schreiber GmbH\CheckScan for SAP Systems Version 3.2 aufrufen und den Befehl „cssapsched.exe –install“ eingeben. Schlägt auch hier die Installation fehl, so wird eine Meldung mit dem möglichen Grund ausgegeben. In den meisten Fällen fehlen die administrativen Berechtigungen für die Installation. Daher sollten Sie die Installation dann von einem administrativ berechtigten Kontoinhaber durchführen lassen.

Der Scan kann nicht durchgeführt werden, es erscheint die Meldung: „Der Fehler 'Keine RFC-Berechtigung für Funktionsgruppe xxxx für Benutzer xxxxx.' führte zum Abbruch der Aufnahme (Fehler Exception ausgelöst, Verbindung geschlossen)“. Was ist zu tun?

Der zum Scan verwendete Benutzer hat nicht die korrekten Berechtigungen zum Auslesen des SAP®-Systems. Stellen Sie sicher, dass der Benutzer min. folgende Berechtigungen besitzt:

Berechtigungsobjekt S_RFC (RFC-Zugriff)

Berechtigungsobjekt S_TABU_DIS (Tabellenpflege)

Bei Bedarf kann die Berechtigungsgruppe so weit eingeschränkt werden, dass die Personaltabellen nicht enthalten sind. Folgender Wert ist dann zu empfehlen:

&NC&, 0 - 9*, A - P9*, PB - Z*

Für das Auslesen der ABAP-Programme zur Quelltextanalyse wird zusätzlich folgendes Berechtigungsobjekt benötigt:

Berechtigungsobjekt S_DEVELOP (ABAP Workbench)

Der Scan kann nicht durchgeführt werden, es erscheint die Meldung „RFC-Error: RFC_ERROR_LOGON_FAILURE (Name oder Kennwort ist nicht korrekt (Bitte Anmeldung wiederholen))“ Was habe ich falsch gemacht?

Es wurde der falsche Benutzer oder ein falsches Passwort angegeben.

Der Scan kann nicht durchgeführt werden, es erscheint die Meldung „RFC-Error: RFC_ERROR_LOGON_FAILURE (Mandant xxx ist im System nicht vorhanden (Bitte vorhandenen wählen))“ Was habe ich falsch gemacht?

Der angegebene Mandant existiert nicht auf dem gewählten System. Prüfen Sie die entsprechenden Verbindungsdaten im Scanmodul.

Der Scan kann nicht durchgeführt werden, es erscheint die Meldung „Keine Verbindung zu xxx.xxx.xxx.xxx möglich! Bitte überprüfen Sie die Eingaben! RFC-Error: RFC_ERROR_COMMUNICATION (Connect to SAP gateway failed).“ Was habe ich falsch gemacht?

Prüfen Sie, ob Sie die korrekte SAP® Host-Adresse (TCP/IP, DNS, SAP® Router String) und die korrekte Systemnummer eingegeben haben. Ist dies der Fall, lassen Sie durch Ihre Administration prüfen, ob evtl. die verwendeten Ports (33+SysNr, 32+SysNr.) durch ein Firewall-System geblockt werden.

Der Scan dauert sehr lange, obwohl es sich um ein verhältnismäßig kleines SAP®-System handelt. Kann ich den Vorgang beschleunigen?

Vermeiden Sie Verzögerungen beim Scan durch bspw. aktive Echtzeitüberwachungen auf Lese-/Schreibzugriffe durch den Virenscan. Dieser sollte für die Zeit des Scans (der Übertragung) für das Arbeitsverzeichnis C:\Programme\IBS Schreiber GmbH\ sowie für das Verzeichnis der Scanfiles und Datenbank deaktiviert sein. Weiterhin sollten Sie die Scanfiles möglichst lokal auf die Festplatte des verwendeten PCs ablegen lassen und auf die Ablage auf Netzlaufwerken verzichten.

Nach dem Auslesen des Systems erhalte ich mehrfach die Meldung: „Anstelle der Tabelle xxxxx wird die Sicht-Tabelle xxxxx gelesen.“ Was bedeutet diese Meldung?

Hierbei handelt es sich um ein normales Verhalten des Scanmoduls, welches dynamisch beim Scan entscheidet, ob und welche Tabellen / Sichttabellen gelesen werden.

Nach dem Auslesen des Systems erhalte ich die mehrfach die Meldung: „Feldwerte für die Domäne xxxxx in der Tabelle xxxxx werden aus Gründen der Performance nicht ausgelesen.“ Welche Auswirkungen hat dies auf meine Auswertungen?

Hierbei handelt es sich um ein normales Verhalten des Scanmoduls, welches dynamisch beim Scan entscheidet, ob und welche Feldwerte nicht gelesen werden. Dies hat im Normalfall keine Auswirkung auf die Vollständigkeit und die Qualität Ihrer Auswertungen. Sollten Sie dennoch über die fehlenden Inhalte informiert werden, so senden Sie den Auszug der Problems.txt an support(at)ibs-hamburg.com.

Nach dem Auslesen des Systems erhalte ich mehrfach die Meldung: „Benutzer xxxxx wird wegen Lizenzverletzung nicht aufgenommen!“ Was bedeutet die Meldung?

Diese Meldung wird erstellt, wenn die Anzahl der ausgelesenen Benutzer die Anzahl der in CheckAud® lizenzierten Benutzer übersteigt. Es sind nur Auswertungen über die bereits ausgelesenen Benutzer möglich, die restlichen Benutzer werden lediglich als nicht ausgelesen protokolliert. Setzen Sie sich mit dem Vertrieb der IBS Schreiber GmbH in Verbindung (sales(at)ibs-hamburg.com) um ggf. die Lizenz zu erweitern.

Der Scan stürzt mit der Meldung „Der Fehler 'Kein Rollspeicher der Länge xxxxxx für Blocks der int. Tabelle verfügbar' führte beim auslesen der Tabelle xxxxx, Durchlauf x, zum Fehler (Exception ausgelöst)!“ ab. Was ist zu tun?

Die Meldung deutet auf unzureichenden Arbeitsspeicher des SAP®-Systems hin. Die durch CheckScanR3 angeforderten Daten konnten nicht durch das SAP®-System aufbereitet und übermittelt werden. Der Scan sollte zu einem Zeitpunkt, an dem das System nicht durch das Tagesgeschäft belastet ist, wiederholt werden. Zusätzlich sollten die Optionen „Benutzeradressen pro Benutzer lesen“ und „Berechtigungen pro Objekt lesen“ gesetzt werden.

Wo finde ich nach erfolgtem Scan des SAP®-Systems die Scanfiles?

Standardmäßig werden die Scanfiles unter C:\Programme\IBS Schreiber GmbH\SCANFILES.CAR3 abgelegt. Dieser Pfad kann allerdings angepasst werden.

Kann ich die Scanfiles direkt auf einem Netzlaufwerk zwecks Verteilung ablegen lassen?

Technisch ist es möglich, UNC Pfade zu Netzlaufwerken im Scanmodul zu verwenden. Bedenken Sie allerdings, dass Sie aufgrund der ausgelesenen Massendaten einigen zusätzlichen Netzwerkverkehr produzieren und bei einfachen Anbindungen (100MBit/s) die Dauer des Scans sich erhöht.

Die Übertragung der Scanfiles wird nicht gestartet, die Verarbeitung bleibt einfach bei 0 % stehen. Was ist zu tun?

Entfernen Sie unter C:\Programme\IBS Schreiber GmbH\CheckScan for SAP Systems Version 3.2 die CheckInsR3.ini und starten Sie das Übertragungsmodul neu. Prüfen Sie vorab die Optionen und stellen Sie ggf. Ihre Einstellungen wieder her (das Löschen der .ini hat diese auf Standardwerte zurückgesetzt).

Das Übertragungsmodul kann nicht gestartet werden, der Prozess CheckInsR3.exe wird im Taskmanager angezeigt, aber die Oberfläche ist nicht sichtbar. Was ist zu tun?

Beenden Sie den Prozess CheckInsR3.exe über den Taskmanager. Löschen Sie die CheckInsR3.ini im Installationsverzeichnis C:\Programme\IBS Schreiber GmbH\CheckScan for SAP Systems Version 3.2 und Verschieben/Löschen Sie die bisher verwendete Datenbank. Starten Sie dann das Übertragungsmodul neu.

Beim Start des Übertragungsmoduls und der Übertragung erscheint die Meldung „Einrichtung des Datenbankzugriff gescheitert“. Was bedeutet diese Meldung?

Beim Start hat das Übertragungsmodul festgestellt, dass entweder eine andere Instanz des Übertragungsmoduls auf die Datenbank zugreift oder das Auswertungsmodul die gewählte Datenbank gerade verwendet. Beenden Sie das Auswertungsmodul und evtl. laufende Instanzen des Übertragungsmoduls und versuchen Sie, die Übertragung neu durchzuführen. Eine andere Fehlerquelle können unzureichende Schreib-/Leserechte auf das Verzeichnis für die Datenbank sein

Beim Start des Übertragungsmoduls erscheint die Meldung „Lizenzierung ungültig, Programm wird beendet“. Was bedeutet diese Meldung?

Die für die Übertragung gewählte Datenbank ist mit einer anderen Kundenversion von CheckAud® erstellt worden. Diese hat eine andere Registriernummer und die implementierte Sicherheitsprüfung hat den Unterschied zur Lizenznummer des Übertragungsmoduls festgestellt. Die vorliegende Datenbank kann nicht verwendet werden, es muss mit dem Übertragungsmodul eine neue Datenbank erzeugt oder eine mit diesem Modul bereits erzeugte Datenbank geöffnet werden.

Beim Start der Übertragung erscheint nach der Vorbereitung für die Übertragung die Meldung „Diese Aufnahme kann nicht übertragen werden“. Was bedeutet diese Meldung?

Das Übertragungsmodul hat festgestellt, dass die für die Übertragung gewählten Scanfiles mit einer anderen Kundenversion von CheckAud® erstellt wurden. Dadurch haben die Scanfiles eine andere Registriernummer als das verwendete Übertragungsmodul. Die Übertragung wird aus Sicherheitsgründen nicht durchgeführt. Eine andere Ursache des Fehlers kann in der fehlenden Indexdatei (*.six) zur Aufnahmedatei (*.sda) liegen. Stellen Sie sicher, dass beide Dateien einer Aufnahme zur Übertragung vorliegen und auch in der Bezeichnung (bis auf die Dateiendung) identisch sind!

Die Übertragung der Scanfiles wird nicht fertig gestellt. Die geschätzte Endzeit ist bereits mehrere Tage in der Zukunft bzw. wird gar nicht mehr aktualisiert. Was kann ich tun?

Beenden Sie das Übertragungsmodul in dem Sie den Prozess CheckInsR3.exe über den Taskmanager stoppen. Verschieben oder Löschen Sie die bisher verwendete Datenbank DATABASE.CAR3. Weiterhin löschen Sie das Verzeichnis TempFiles im Installationsverzeichnis C:\Programme\IBS Schreiber GmbH\CheckScan for SAP Systems Version 3.2. Starten Sie das Übertragungsmodul neu, der Start wird nun etwas länger dauern, da das Verzeichnis TempFiles sowie die Datenbank neu erstellt werden. Bleibt die Übertragung erneut stehen, wenden Sie sich an den Support der IBS Schreiber GmbH (support(at)ibs-hamburg.com).

Nach erfolgreicher Übertragung in die Datenbank wird das Auswertungsmodul gestartet. Allerdings ist die eben übertragene Aufnahme nicht im Auswertungsmodul auswählbar. Was ist zu tun?

Prüfen Sie, ob Sie mit dem Auswertungsmodul die richtige Datenbank geöffnet haben. Ist dies der Fall, löschen Sie das Verzeichnis TempFiles im Installationsverzeichnis C:\Programme\IBS Schreiber GmbH\CheckScan for SAP Systems Version 3.2 und wiederholen Sie die Übertragung. Ggf. sollte auch eine neue Datenbank erstellt werden.

Wo finde ich nach erfolgreicher Übertragung die Datenbank?

Die Datenbank wird standardmäßig unter C:\Programme\IBS Schreiber GmbH\DATABASE.CAR3 erstellt. Dieser Pfad kann allerdings angepasst werden.

Ich habe beobachtet, dass während der Übertragung die Auslastung des Prozessors für den Prozess CheckInsR3.exe längere Zeit auf 0% steht. Ist das Übertragungsmodul abgestürzt?

Im Normfall nicht, es ist durchaus möglich, dass das Übertragungsmodul für längere Zeit (bei großen Aufnahmen teilweise bis zu einer halben Stunde) keine Prozessorlast produziert. Allerdings läuft die Applikation normal weiter, es sollte in diesem Fall erst einmal abgewartet werden. Wenn sich kein Fortschritt bei der Übertragung zeigt (Zahl der bereits übertragenen Objekte hat sich nicht verändert, die Restzeitanzeige wird nicht mehr aktualisiert) kann von einem Problem ausgegangen werden.

Die Übertragung dauert sehr lange, obwohl es sich um ein verhältnismäßig kleines SAP®-System handelt. Kann ich den Vorgang beschleunigen?

Vermeiden Sie Verzögerungen bei der Übertragung durch bspw. aktive Echtzeitüberwachungen auf Lese-/Schreibzugriffe durch den Virenscan. Dieser sollte für die Zeit der Übertragung (des Scans) für das Arbeitsverzeichnis C:\Programme\IBS Schreiber GmbH\ sowie für das Verzeichnis der Scanfiles und Datenbank deaktiviert sein. Weiterhin sollten Sie die Datenbank möglichst lokal auf die Festplatte des verwendeten PCs erstellen lassen und auf die Erstellung auf Netzlaufwerken verzichten. Weiterhin können Sie in den Optionen des Übertragungsmoduls festlegen, wie stark der verwendete Rechner durch das Übertragungsmodul ausgelastet werden soll. Testen Sie hier mit verschiedenen Einstellungen. Des Weiteren sollten Sie auf parallele Arbeit an dem PC während der Übertragung verzichten.

Kann ich die Datenbank direkt auf einem Netzlaufwerk zwecks Verteilung erstellen lassen?

Technisch ist es möglich, UNC Pfade zu Netzlaufwerken im Übertragungsmodul zu verwenden. Bedenken Sie allerdings, dass Sie aufgrund der verarbeiteten Massendaten einigen zusätzlichen Netzwerkverkehr produzieren und bei einfachen Anbindungen (100MBit/s) die Dauer der Übertragung sich erhöht.

• > deutsch