Berechtigungsobjekte
Pflegestatus
Beim Durchlauf der Rollen wird nach sich unterscheidenden Wertebereichen für das betreffende Feld innerhalb einer Rolle gesucht. Es findet eine automatische Bereinigung statt, indem beide Wertebereiche zusammen in alle Felder geschrieben werden. Daher sollten Sie solche Einträge bereits vorher bereinigen und gegebenenfalls zwei unterschiedliche Rollen erstellen. Der Report PFCG_ORGFIELD_CREATE bietet einen Testlauf an, mit dem Sie alle betroffenen Rollen identifizieren können. Die Spalte Status gibt einen Überblick über den Stand der Berechtigungswerte. Ist der Status gelb, gibt es unterschiedliche Wertebereiche für das Feld innerhalb der Rolle; die Rolle muss also bereinigt werden.
Sollten Sie trotz der regelmäßigen Archivierung und Indizierung der Änderungsbelege Ihrer Benutzer- und Berechtigungsverwaltung noch Probleme mit der Performance der Auswertung haben, liegt dies vermutlich an der Menge der zentralen Änderungsbelege. In diesem Fall brauchen Sie ebenfalls ein Archivierungskonzept für andere zentrale Änderungsbelegdaten. In SAPHinweis 1257133 wird die Vorgehensweise zur Erstellung eines solchen Konzepts beschrieben.
AGS Security Services nutzen
Die erste Zeile definiert, dass der Zugriff auf alle Dateien verboten ist, sofern für sie nicht in den weiteren Zeilen andere Einstellungen vorgenommen worden sind. Der Asterisk (*) steht hier an erster Position und in diesem Fall für alle Dateien und Pfade. Steht der Asterisk an einer anderen Position, wird er als Teil des Dateinamens interpretiert, was z. B. in Microsoft Windows gar nicht erlaubt ist. In unserer Beispieltabelle wird durch das Setzen der Schalter FS_NOREAD = X und FS_NOWRITE = X für alle Pfade das Lesen und Schreiben untersagt. Die Tabelle wird damit zu einer White List. Diese ist aus Sicherheitsgründen einer Black List vorzuziehen. SPTH wird dagegen zur Black List, wenn Sie die erste Zeile mit PATH = * in unserem Beispiel entfernen oder keinen der Schalter FS_NOREAD, FS_NOWRITE oder FS_BRGRU setzen. Die zweite Zeile mit PATH = /tmp erlaubt als Ausnahme von dem in der ersten Zeile für alle Dateien und Pfade definierten Zugriffsverbot den Lese- und Schreibzugriff für alle Dateien, die mit /tmp beginnen, analog zu einem Berechtigungswert /tmp*. Diese Einstellung beschränkt sich nicht auf Unterverzeichnisse, sondern umfasst z. B. auch alle Dateien, deren Name mit /tmp-xy beginnt. Die dritte Zeile mit PATH = /tmp/myfiles definiert mit FS_BRGRU = FILE eine Berechtigungsgruppe und löst damit die anschließende Berechtigungsprüfung auf das Objekt S_PATH aus. Der Schalter SAVEFLAG = X definiert, dass diese Dateien in eine Sicherungsprozedur aufgenommen werden; dies ist allerdings für die Berechtigungsvergabe nicht relevant.
Unsere Beispielrolle MODELING macht deutlich, dass es möglich ist, verschiedene Privilegtypen einer Rolle zuzuordnen. Das SAP HANA Studio zeigt Ihnen in der Administrationsoberfläche an, welcher Benutzer (der sogenannte Grantor) das jeweilige Privileg dieser Rolle zugeordnet (granted) hat. Durch Filtern und Sortieren können Sie die Darstellung der Rolleninhalte optimieren. Je nach Typ des Privilegs werden Ihnen durch Markieren eines Eintrags die entsprechenden Details angezeigt.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Deaktivieren Sie alle weiteren sichtbaren Berechtigungsobjekte.
Sie sollten alle Belegarten in denselben Zeitintervallen archivieren; dies gilt besonders für die Archivobjekte US_USER und US_PASS.