SAP-Berechtigungen: Empfehlungen zur Einrichtung, Überwachung und Kontrolle
Wie du Rollen und Berechtigungen im SAP-System analysierst
Identifizieren Sie Schwachstellen in der Konfiguration Ihrer RFC-Schnittstellen, also RFC-Verbindungen, in denen Benutzer mit weitreichenden Berechtigungen (z. B. mit dem Profil SAP_ALL) eingetragen sind. Diese RFC-Verbindungen können für das sogenannte RFC-Hopping verwendet werden, bei dem Zugriffe auf ein SAP-System über eine solch umfangreich berechtigte RFC-Verbindung erfolgen.
Sie wissen, dass ein Ändern Ihrer SU24-Daten ein Abmischen der betreffenden Rollen mit sich bringt. Bisher mussten sich die Berechtigungsadministratoren die Rollen, z. B. aus der Transaktion SUIM, heraussuchen, um diese dann zu bearbeiten. Oft wird das erneute Abmischen der entsprechenden Rollen auch vergessen. Um zu gewährleisten, dass Sie direkt bei der Pflege der Daten in der Transaktion SU24 für die betreffenden Rollen den Abmischmodus einstellen können, ist die Funktion hier mit den jeweiligen Support Packages, benannt im SAP-Hinweis 1896191, bereitgestellt worden. Über die Korrektur werden die Buttons Abmischmodus für PFCG: Ein/Aus bzw. Rollen zur Verfügung gestellt. Die Funktion weist den Rollen den Abmischmodus zu, was Schritt 2c aus der Transaktion SU25 entspricht (siehe Tipp 43, »Berechtigungen nach einem Upgrade anpassen«). Diese Funktion können Sie über den Wert Y für den Parameter SU2X_SET_FORCE_MIX in der Tabelle PRGN_CUST aktivieren. Den Status des Abmischmodus können Sie über den Button Abmischmodus für PFCG: Ein/Aus abfragen. Standardmäßig ist diese Funktion ausgeschaltet. Mithilfe des Buttons Rollen (Verwendung in Einzelrollen) werden alle Rollen, die die ausgewählte Anwendung beinhalten, ermittelt und direkt in der Transaktion SU24 angezeigt. Sie erhalten eine Liste über alle abzugleichenden Rollen in der Transaktion SUPC über die Option Auch abzugleichende Rollen und können die Rollen nun schrittweise aktualisieren.
CRM-Rollenkonzept im Zusammenhang mit externen Services umsetzen
Die Anforderungen im dritten Beispiel, die Postenjournalanzeige (Transaktion FAGLL03) zu filtern, können Sie mithilfe des BAdIs FAGL_ITEMS_CH_DATA umsetzen. Dabei sollen, abhängig von den erteilten Berechtigungen, bestimmte Posten oder Belege von der Anzeige ausgeschlossen werden. Die Definition des BAdIs können Sie über die Transaktion SE18 einsehen, und in der Transaktion SE19 legen Sie eine Implementierung des BAdIs im Kundennamensraum an.
Für die Berechnung der Empfehlungen können Sie die SAP-Hinweise nach ihrem produktiven System, nach der SAP-Lösung sowie nach den Anwendungen und Komponenten, dem technischen Systemnamen und dem Zeitraum der Veröffentlichung filtern. Die Empfehlung wird in die folgenden Kategorien unterteilt ausgegeben: Sicherheitsrelevante SAP-Hinweise, Hinweise zur Performanceoptimierung, HotNews, Hinweise zu Änderungen der rechtlichen Vorgaben, Hinweise zu Korrekturen im ABAP-System.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Dabei erstellt das System im Hintergrund ein Programm, das den Join aufbaut.
Dazu nutzen Sie die Protokollauswertung des AIS in der Transaktion SAIS_LOG oder klicken in der Transaktion SAIS auf den Button.