SAP S/4HANA® Migrationsprüfung
Lösungen für die Benutzerverwaltung in SAP HANA anwenden
Schützen Sie Ihr System vor unbefugten Aufrufen von RFC-Funktionsbausteinen über das Berechtigungsobjekt S_RFC, indem Sie die erforderlichen Berechtigungen mithilfe der statistischen Nutzungsdaten ermitteln. In vielen Unternehmen liegt das primäre Augenmerk im Berechtigungsumfeld auf dem Schutz von Dialogzugriffen. Für jede erforderliche Transaktion entscheiden Sie im Einzelnen, welche Personengruppen Zugriff erhalten dürfen. Oft wird dabei übersehen, dass für das kritische Berechtigungsobjekt S_RFC eine analoge Berechtigungszuweisung erfolgen muss. Sind die Berechtigungen zum externen RFC-Zugriff (RFC = Remote Function Call) über Funktionsbausteine unsauber definiert und den Anwendern zugewiesen, wird der Primärschutz für startbare Anwendungen durch das Berechtigungsobjekt S_TCODE schnell umgangen.
SAP liefert für das Records- und Case-Management Berechtigungsobjekte aus, über die Sie u.a. im Zusammenspiel mit entsprechenden Customizing-Einstellungen den Zugriff auf Akten, Vorgänge, Dokumente und Posteingangsstücke für einzelne Organisationseinheiten Ihrer Aufbauorganisation steuern können. SAP liefert vorgefertigte Rollen aus, die eindeutig umgrenzte Berechtigungen zu den jeweiligen Aufgabenbereichen der Mitarbeiter enthalten. Diese Rollen enthalten u. a. auch die Berechtigungsobjekte für das Records Management und das Case Management. Sie können die Rollen als Vorlage für Ihre eigenen Rollen verwenden und an Ihre Anforderungen anpassen.
Unklare Zielvorgaben und fehlende Definition eigener Sicherheitsstandards
Diesen Rollen können Sie nun Transaktionen zuordnen. Die Erfahrung zeigt, dass Rollen applikationsspezifisch bleiben sollten und ferner eine Unterscheidung zwischen buchenden bzw. anlegenden, ändernden und lesenden Rollen sinnvoll ist. Es wird regelmäßig Transaktionen geben, die in mehreren Rollen verwendet werden. Die oft geforderte Redundanzfreiheit sollten Sie nicht zu hoch bewerten. Für kritische Transaktionen oder für Transaktionen, die Anteil an einem Funktionstrennungskonflikt haben, empfiehlt es sich aber, diese in einer eigenen Rolle vorzuhalten. Generell sollten Rollen nicht zu viele Transaktionen enthalten; kleinere Rollen sind einfacher zu warten und einfacher abzuleiten. Ihre Vergabe führt auch nicht so zügig zu dem Problem, dass Benutzer über zu viele Berechtigungen verfügen. Sofern Sie die notwendigen Funktionstrennungen gleich festhalten, haben Sie diese auch schon als Take-away vorbereitet.
Die Sicherheit eines SAP-Systems ist nicht nur von der Absicherung des Produktivsystems abhängig. Die Entwicklungssysteme sollten ebenfalls betrachtet werden, da hier über zu transportierende Änderungen in der Entwicklungsumgebung und im Customizing oder über mangelhaft konfigurierte Schnittstellen Einfluss auf das Produktivsystem genommen werden kann. Abhängig von der konzeptionellen Granularität der Zuständigkeiten im Entwicklungs- und Customizing-Umfeld sind evtl. genauere Berechtigungsprüfungen durchzuführen.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Sichern und generieren Sie die Rolle.
Einen Trick gibt es bei der Pflege der CO-PA-spezifischen Berechtigungsobjekte, denn ein einmal ausgewählter Ergebnisbereich ist für die gesamte Session Ihrer Anmeldung gesetzt.