Dokumentationen zum Berechtigungsobjekt
RSUSRAUTH
Im Rahmen der Einführung eines Security-Patch-Prozesses werden Sie, abhängig von Ihrem Release- und Support-Package-Stand, viele Sicherheitshinweise auswerten müssen. In diesem Fall können Sie mithilfe des Reports RSECNOTE bzw. mithilfe des EarlyWatch Alerts auswerten, welche Sicherheitshinweise durch den SAP Active Global Support als besonders kritisch eingestuft wurden. Der Report RSECNOTE wird seit März 2013 nur noch sehr eingeschränkt gepflegt und enthält daher nur wenige neue Sicherheitshinweise. Trotzdem bietet er gute Anhaltspunkte für die initiale Bereinigung von Sicherheitslücken.
Die erste Anforderung nach zusätzlichen Prüfungen bei der Durchführung von Belegbuchungen können Sie mithilfe der Belegvalidierung umsetzen. In diesem Beispiel gehen wir davon aus, dass der Beleg über eine Schnittstelle gebucht wird und Sie Berechtigungen für kundeneigene Berechtigungsobjekte und/oder bestimmte Datenkonstellationen prüfen möchten. Für die Belegvalidierung gibt es unterschiedliche Zeitpunkte. Der komplette Beleg kann immer validiert werden, stehen Ihnen nur die Informationen aus Belegkopf (Zeitpunkt 1) oder Belegposition (Zeitpunkt 2) zur Verfügung, kann dies abhängig vom Szenario auch ausreichend sein. In solchen Fällen müssen Sie die Validierung unter den entsprechenden Zeitpunkten anlegen. Bevor Sie einen User-Exit in einer Validierung ausprägen können, sind einige Vorbereitungen zu treffen.
Fehlende Definition eines internen Kontroll-Systems (IKS)
Ermitteln Sie den Personalstammdatensatz, der der Benutzer-ID zugeordnet ist, die Sie gerade in der Transaktion SU01 anlegen. Suchen Sie dazu innerhalb der Personaldaten nach einer Personalnummer, die im Subtyp Systembenutzername SAP-System (0001) des Infotyps Kommunikation (0105) diese Benutzer-ID eingetragen hat. Belegen Sie anschließend die Felder der Transaktion SU01 mit den Daten aus dem Personalstammsatz.
Die Angabe des Programmnamens im Feld PROGRAM ist einfacher, da der Maximalwert von 40 Zeichen der Beschränkung für Programmnamen im SAP NetWeaver Anwendungsserver ABAP entspricht. Falls es sich um einen Funktionsbaustein oder eine Webanwendung handelt, können Sie den Programmnamen über den Systemtrace für Berechtigungen (Transaktion ST01 oder Transaktion STAUTHTRACE) ermitteln. In der Tabelle SPTH können Sie Zugriffsrechte für Pfade definieren, und ob für sie eine zusätzliche Berechtigungsprüfung auf das Objekt S_PATH durchgeführt werden soll.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Da durch unstrukturierte Berechtigungen nicht nur Sicherheits- und Datenschutzlücken entstehen, sondern auch die Verwaltung kompliziert wird und bei Revisionen Probleme entstehen, sollten unnötige Berechtigungen vermieden werden.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Wo liegt nun der Unterschied zwischen den Transaktionen, und wie werden diese richtig verwendet?