Redesign der SAP® Berechtigungen
SAP-Berechtigungen – Eine gemeinsame Perspektive von Entwicklern und Beratern
Noch kritischer ist die Vergabe des umfassenden SAP®-Standardprofil SAP_ALL, welches nahezu alle Rechte im System beinhaltet. Deshalb sollte es maximal an einen sogenannten Notfallbenutzer zugewiesen werden. Der Umgang mit dem Notfallbenutzer ist auch im schriftlich dokumentierten Berechtigungskonzept vorzugeben. In jedem Fall sollten die Aktivitäten des Notfallbenutzers protokolliert und regelmäßig kontrolliert werden. Deshalb ist es essenziell in der Vorbereitung auf die Jahresabschlussprüfung, die aktuellen, aber auch die historischen Zuweisungen, von SAP_ALL zu überprüfen. Es ist also nicht ausreichend, im Vorfeld der Jahresabschlussprüfung einfach schnell den Benutzern das Profil SAP_ALL zu entziehen. Es muss auch nachgewiesen werden, dass über den Prüfzeitraum das Profil SAP_ALL nicht kurzfristig für ein paar wenige Tage vergeben wurde. Sollte es doch zu Zuweisungen von SAP_ALL gekommen sein, wurde diese im Idealfall bereits dokumentiert und kontrolliert. Sollte dies nicht der Fall sein, ist unbedingt eine nicht veränderbare Dokumentation anzulegen, in welcher nachgewiesen wird, warum die Zuweisung notwendig war und dass der User darüber hinaus keine kritischen Aktionen durchgeführt hat (Ablage und Review der Protokollierung).
Die mit dem Berechtigungstrace (mit Filter für das Berechtigungsobjekt S_DATASET) gewonnenen Daten können Sie natürlich auch gleich zur Ausprägung von Berechtigungen für das Objekt selbst verwenden. Hierzu sollten Sie in jedem Fall auch die für das Feld PROGRAM gewonnenen Werte nutzen. Auf diese Weise schließen Sie den Missbrauch durch modifizierte Kopien von ABAP-Programmen aus. Diese Einschränkung der zugreifenden Programme stellt bereits einen Sicherheitsgewinn dar, auch wenn Sie den Zugriff auf Pfade und Dateien nicht einschränken möchten.
BERECHTIGUNGEN FÜR BATCH-VERARBEITUNG IM SAP NETWEAVER UND S/4HANA-UMFELD
Prüfen Sie nun die Systemvariable SY-SUBRC. Beträgt der Wert 0, war die Berechtigungsprüfung erfolgreich. Beträgt der Wert 4, war die Prüfung nicht erfolgreich. Bei einem Wert von 8 besteht eine Inkonsistenz in der Definition des Berechtigungsobjekts und der Prüfung im Code – dies sollte nicht passieren! Beträgt der Wert 12, ist die Berechtigung nicht Teil Ihres Berechtigungspuffers.
Ein Zettelkasten, in dem schnell Daten aller Art abgelegt und wiedergefunden werden können. Das verspricht Scribble Papers. Anfangs sieht das Programm sehr spartanisch aus. Aber wenn erst einmal eine kleine Struktur vorhanden ist, erkennt man die große Flexibilität dieses kleinen Helfers.
Diese erweiterte Funktionalität der Transaktion SU53 wird über einen Patch ausgeliefert. Im SAP-Hinweis 1671117 finden Sie weiterführende Informationen zu den erforderlichen Support Packages sowie technische Hintergründe. Nicht erfolgreiche Berechtigungsprüfungen werden nun in einen Ringpuffer des Shared Memorys des Anwendungsservers geschrieben. Damit können Sie nun fehlgeschlagene Berechtigungsprüfungen auch in Web-Dynpro-Anwendungen oder anderen Benutzeroberflächen anzeigen, was bisher nicht möglich war. Abhängig von der Größe des Ringpuffers und der Systemauslastung können je Benutzer bis zu 100 fehlgeschlagene Berechtigungsprüfungen für die letzten drei Stunden angezeigt werden. Die Größe des Ringpuffers wird aus der Anzahl der definierten Workprozesse berechnet. Standardmäßig können 100 Berechtigungsprüfungen je Workprozess gespeichert werden. Diese Größe können Sie mithilfe des Profilparameters auth/su53_buffer_entries anpassen.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Daher brauchen Sie eine Möglichkeit, um die Daten für die Berechtigungsvorschlagswerte und die PFCG-Rollen in Y-Landschaften transparent und konsistent zu transportieren.
Per Doppelklick auf diesen Service werden Sie feststellen, dass dort keine Vorschlagswerte gepflegt worden sind.