Fehleranalyse bei Berechtigungen (Teil 1)
Berechtigungswerte beim Rollenupgrade vergleichen
Sie sollten daher eine kryptografische Authentifizierung und eine Verschlüsselung der Kommunikation erzwingen, indem Sie Secure Network Communication (SNC) einrichten. SNC bietet einen starken kryptografischen Authentifizierungsmechanismus, verschlüsselt die Datenübertragung und wahrt die Integrität der übertragenen Daten. Seit einiger Zeit ist SNC ohne einen SSOMechanismus (SSO = Single Sign-on) für SAP GUI und die RFC-Kommunikation aller SAP-NetWeaver-Kunden frei verfügbar. Sie sollten SNC immer zwischen SAP GUI und Anwendungsserver implementieren, da diese Kommunikation auch über offene Netze laufen kann. Für die RFC-Kommunikation brauchen Sie eine SNC-Implementierung, wenn Sie meinen, dass die Datenübertragung abgehört werden könnte.
Sie möchten den Zugriff auf die Dateien des Anwendungsservers absichern? Erfahren Sie, welche Möglichkeiten Ihnen die Berechtigungsobjekte S_DATASET und S_PATH bieten, welche Einschränkungen bestehen und welche Fallstricke lauern. Der Zugriff auf die Dateien des Anwendungsservers ist durch im Kernel eingebaute Berechtigungsprüfungen geschützt, ähnlich wie der Start von Transaktionen und RFC-Funktionsbausteinen. Die von SAP ausgelieferten Berechtigungsvorschläge zum Berechtigungsobjekt S_DATASET bieten Ihnen keine große Hilfestellung, und zu S_PATH gibt es praktisch keine Informationen, da Sie dieses Berechtigungsobjekt erst durch das Customizing der Tabelle SPTH aktivieren müssen. Häufig werden daher die Berechtigungen zu S_DATASET zu großzügig ausgeprägt, die Tabelle SPTH kaum gepflegt und S_PATH gar nicht benutzt. Wir zeigen Ihnen hier, wie diese Berechtigungen funktionieren und wie Sie sie sinnvoll einschränken können.
Passwörter schützen
SAP Berechtigungen sind ein sicherheitskritisches und damit ein immens wichtiges Thema in Unternehmen. Mit ihrer Hilfe werden nicht nur die Zugriffsmöglichkeiten der Nutzer im SAP-System gesteuert, sondern auch die externe und interne Sicherheit der Unternehmensdaten hängt direkt von den eingestellten Berechtigungen ab.
Um auf Geschäftsobjekte zuzugreifen oder SAP Transaktionen auszuführen, benötigt ein Benutzer entsprechende Berechtigungen, da Geschäftsobjekte oder Transaktionen durch Berechtigungsobjekte (Authorization objects) mit mehreren Berechtigungsfeldern (Authorization fields) geschützt werden. Die Berechtigungen stellen Instanzen generischer Berechtigungsobjekte dar und werden abhängig von der Tätigkeit und den Verantwortlichkeiten des Mitarbeiters definiert. Die Berechtigungen werden in einem Berechtigungsprofil (Generated profil) zusammengefasst, das einer Rolle zugeordnet ist. Die Benutzeradministratoren ordnen dann die entsprechenden Rollen (Single role oder Composite role) über den Benutzerstammsatz zu, sodass der Benutzer die entsprechenden Transaktionen für seine Aufgaben verwenden kann.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Falls Entwicklerschlüssel in dem vorhandenen SAP-Release also noch relevant sind, sollten zunächst die vorhandenen Entwicklerschlüssel in der Tabelle DEVACCESS überprüft und mit den für die Entwicklung vorgesehenen Benutzern abgeglichen werden.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Das SAP HANA Studio zeigt Ihnen in der Administrationsoberfläche an, welcher Benutzer (der sogenannte Grantor) das jeweilige Privileg dieser Rolle zugeordnet (granted) hat.