SAP-Berechtigungen: Empfehlungen zur Einrichtung, Überwachung und Kontrolle
Anzahl der möglichen Profile über Referenzbenutzer erweitern
Die Startberechtigungsprüfung für S_START wird von SAP inaktiv ausgeliefert. Wenn diese Prüfung in einer AS-ABAP-Installation aktiv geschaltet wird (siehe auch SAP-Hinweis 1413011), wirkt sich dies auf alle Mandanten aus. Vor dem Aktivsetzen muss daher sichergestellt sein, dass alle betroffenen Benutzer in den ihnen zugeordneten Berechtigungsprofilen über die notwendigen Werte in den Berechtigungsfeldern von S_START verfügen.
Sicherheitshinweise korrigieren Schwachstellen in der SAP-Standardsoftware, die intern oder extern ausgenutzt werden können. Sorgen Sie mithilfe der Anwendung »Systemempfehlungen« dafür, dass Ihre Systeme auf dem aktuellen Stand sind. SAP-Software wird hohen Qualitätssicherungsstandards unterzogen – trotzdem kann es zu Sicherheitslücken im Code kommen. Diese Sicherheitslücken können im schlimmsten Fall externen und internen Eindringlingen Tür und Tor öffnen. In einschlägigen Internetforen ist es nicht schwer, Anleitungen zur Ausnutzung dieser Sicherheitslücken zu finden. Ein Berechtigungskonzept ist nur so gut wie der Code, der die Berechtigungsprüfungen ausführt. Findet keine Berechtigungsprüfung im Code statt, kann auch das Berechtigungskonzept den Zugriff nicht einschränken. Aus diesen Gründen hat SAP den Security Patch Day (jeden zweiten Dienstag im Monat) eingeführt, der Ihnen eine bessere Planung für die Implementierung der Sicherheitshinweise ermöglichen soll. Zusätzlich können Sie die Anwendung Systemempfehlungen im SAP Solution Manager nutzen, um eine detaillierte, systemübergreifende Übersicht der benötigten Sicherheitshinweise zu erhalten. Der Systemstatus und die bereits implementierten SAP-Hinweise werden dabei berücksichtigt. Sorgen Sie mit dieser Unterstützung dafür, dass sich Ihre Systemlandschaft auf dem aktuellen Sicherheitsstand befindet.
Kritische Basisberechtigungen, die nicht in Anwendungsrollen enthalten sein sollten, erkennen
Das Auslesen der Änderungsbelege der Benutzer- und Berechtigungsverwaltung dauert Ihnen einfach zu lange? Mit einem guten Archivierungskonzept können Sie die Performance verbessern. Durch die Anwendungen der Benutzer- und Berechtigungsverwaltung werden Änderungsbelege geschrieben, deren Menge mit der Zeit beträchtlich zunehmen und es daher zu langen Wartezeiten beim Auslesen dieser Belege kommen kann. Um die Wartezeiten zu reduzieren, sollten Sie die Belege archivieren und einen logischen Index für zentrale Änderungsbelege setzen. Dafür brauchen Sie allerdings einen Gesamtüberblick über die Speicherorte und auch über die Auswertungsmöglichkeiten und Archivierungsszenarien. Wir zeigen Ihnen im Folgenden, wie Sie das Änderungsbelegmanagement der Benutzer- und Berechtigungsverwaltung optimieren können.
Das Customizing der Organisationskriterien ist mandantenübergreifend. Die Aktivierung der Organisationskriterien ist allerdings mandantenabhängig. Möchten Sie diese Berechtigungen in verschiedenen Mandanten nutzen, müssen Sie die jeweiligen Organisationskriterien für den jeweiligen Mandanten aktivieren. Nun können Sie das Organisationskriterium in Ihrer PFCG-Rolle verwenden. Pflegen Sie dazu das Berechtigungsobjekt S_TABU_LIN mit dem von Ihnen erstellten Organisationskriterium ein. Weisen Sie dazu die jeweiligen Attribute mit den organisatorischen Werten zu, für die der Anwender berechtigt sein soll. Hier können Sie neben den Einzelwerten auch Intervalle für Ihr Organisationskriterium angeben, sodass Sie den Anwendern Berechtigungen für mehrere organisatorische Werte zuteilen können.
Sichern Sie Ihren Go-Live mit "Shortcut for SAP systems" zusätzlich ab. Notwendige SAP Berechtigungen können Sie schnell und unkompliziert direkt im System zuweisen.
Dass diese Aufgabe sehr komplex sein kann, haben Sie sicher schon einmal selbst erfahren.
Dafür muss die ZBV einmal initial konfiguriert werden.