Anforderungen an ein Berechtigungskonzept umsetzen
SIVIS as a Service
Ihre SAP-Systemlandschaft halten Sie sicher und aktuell, indem Sie verschiedene Arten von SAP-Hinweisen und Patches einspielen. Eine erste Übersicht zu den Sicherheitshinweisen für SAP-Systeme finden Sie im SAP Service Marketplace unter https://service.sap.com/securitynotes. Eine vollständige Liste aller Sicherheitshinweise für alle SAP-Lösungen (SAP NetWeaver Application Server ABAP und Java, TREX, SAP HANA, Sybase, SAP GUI usw.) finden Sie über Security Notes Search auf dieser Seite. Mit der Seite My Security Notes können Sie die SAP-Hinweise finden, die für im SAP Service Marketplace registrierte Systeme relevant sind. Hier werden bereits eingespielte Hinweise allerdings nicht berücksichtigt.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Dafür eignet sich Scribble Papers ganz hervorragend.
In der Transaktion SU22 pflegen die Entwickler einer Anwendung die Vorschlagswerte für alle benötigten Berechtigungsobjekte; dabei hilft der Berechtigungstrace. Wie in SAP-Hinweis 543164 beschrieben, wird über den dynamischen Profilparameter auth/authorization_trace der Trace mit dem Wert Y (aktiv) bzw. F (aktiv mit Filter) eingeschaltet. Mit dem Einspielen der SAP-Hinweise 1854561 bzw. des relevanten Support Packages aus SAP-Hinweis 1847663 ist es möglich, einen Filter für diesen Trace über die Transaktion STUSOBTRACE zu definieren, den Sie anhand der Kriterien Typ der Anwendung, Berechtigungsobjekte oder Benutzer einschränken können.
S_TABU_NAM in ein Berechtigungskonzept integrieren
Bereits beim Anlegen der PFCG-Einzelrollen im jeweiligen SAP-System sollten Sie die Menüstruktur so erstellen, dass sie mit anderen Einzelrollen in einer Sammelrolle zusammengefasst werden können. Haben Sie die Einzelrollen mit dem richtigen Rollenmenü einmal erstellt, können Sie diese einer Sammelrolle zuordnen. Fügen Sie der Sammelrolle das Rollenmenü über den Button Menü einlesen hinzu. Das Menü kann nun final sortiert werden. Sind Änderungen am Rollenmenü notwendig, müssen Sie diese jedoch zuerst in den Einzelrollen vornehmen, um sie dann in der Sammelrolle neu abzumischen (über den Button Abmischen, siehe Abbildung nächste Seite oben). Transaktionen aus anderen SAP-Systemen wie SAP CRM, SAP SCM usw. können Sie ebenfalls in den NWBC einbinden. Zu diesem Zweck legen Sie die PFCG-Einzelrolle für die entsprechenden Transaktionen zunächst im Zielsystem an. Aus den Einzelrollen können Sie wieder Sammelrollen mit einer definierten Menüstruktur erstellen.
Die Grundidee des Ansatzes, den wir Ihnen im Folgenden beschreiben, ist es, für die Definition der erforderlichen Berechtigungen das bisherige Nutzungsverhalten auszuwerten (Reverse Engineering). Im ersten Schritt konfigurieren Sie die Aufbewahrungszeit von Nutzungsdaten, denn jedes SAP-System protokolliert die Aufrufe von startbaren Anwendungen. So wird nicht nur protokolliert, welcher Benutzer zu welchem Zeitpunkt welche Transaktion, sondern auch, welcher Benutzer welchen Funktionsbaustein aufgerufen hat. Diese Daten werden daraufhin in Tages-, Wochen- und Monatsaggregaten verdichtet und für einen bestimmten Zeitraum abgespeichert. Diese statistischen Nutzungsdaten sind ursprünglich für die Performanceanalyse gedacht; Sie können Sie aber auch für die Ermittlung der erforderlichen Berechtigungen verwenden. Die Konfiguration der Vorhaltezeit der statistischen Nutzungsdaten haben wir in Tipp 26, »Nutzungsdaten für die Rollendefinition verwenden«, beschrieben. Beachten Sie auch unsere Erläuterungen zur Einbindung des Mitbestimmungsorgans Ihrer Organisation bei der Speicherung und Verwendung der statistischen Nutzungsdaten. Zusätzlich zu den in Tipp 26 beschriebenen Einstellungen sollten Sie die Vorhaltezeit auch für die Tasktypen RFC-Client-Profil (WO), RFC-Client-Destination-Profil (WP), RFC-Server-Profil (WQ) und RFC-Server-Destination-Profil (WR) mithilfe des Pflege-Views SWNCCOLLPARREO anpassen.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Dieses BAdI steht Ihnen ebenfalls nur per Support Package ab SAP NetWeaver AS ABAP 7.31 zur Verfügung.
Rollenbasierte SAP-Berechtigungen gewähren unterschiedlichen Personengruppen verschiedene Handlungsoptionen und Ansichten im System, regeln bspw. den Zugriff auf Gehaltsdaten.