Analyse der Qualität des Berechtigungskonzeptes – Teil 1
Risiko: historisch gewachsenen Berechtigungen
Die Passwörter der Benutzer sind im SAP-System als Hash-Werte abgelegt. Die Qualität der Hash-Werte und damit deren Sicherheit, hängt aber von den eingesetzten Hash-Algorithmen ab. Die früher in den SAP-Systemen eingesetzten Hash-Algorithmen sind nicht mehr als sicher einzustufen; sie können innerhalb kurzer Zeit mit einfachen technischen Mitteln geknackt werden. Sie sollten daher die Passwörter in Ihrem System auf verschiedene Weise absichern. Zuerst sollten Sie den Zugang zu den Tabellen, in denen die Hash-Werte der Passwörter abgelegt sind, stark einschränken. Dies betrifft die Tabellen USR02 und USH02 sowie in neueren Releases die Tabelle USRPWDHISTORY. Am besten weisen Sie diesen Tabellen eine eigene Tabellenberechtigungsgruppe zu, wie es in Tipp 55, »Tabellenberechtigungsgruppen pflegen«, beschrieben wird. Zusätzlich sollten Sie auch die Zugriffe über das Berechtigungsobjekt S_TABU_NAM kontrollieren.
In vielen Unternehmen mit verteilter Organisation wird das Profit-Center zur Abbildung der dezentralen Einheiten verwendet. Berechtigungstechnisch war dies jedoch bisher für FI nur mit Zusatzprogrammierungen realisierbar. In integrierten Datenflüssen in SAP ERP prüft die sendende Applikation in der Regel nicht die Berechtigungsobjekte der empfangenden Applikation. So prüft die Finanzbuchhaltung (FI) in SAP keine Berechtigungen auf Kostenstellen und Profit-Center. Je nach Anwendungsfall kann dies jedoch geboten sein, z. B. wenn dezentrale Einheiten wie kleine Unternehmen im Unternehmen agieren und jeweils nur Daten für genau diese Einheit erfassen und ansehen sollen. Mit der Einführung des neuen Hauptbuchs hat SAP die Finanzbuchhaltung und die Profit-Center-Rechnung technisch verschmolzen, sodass sich die Frage nach der Berücksichtigung von Profit-Center-Berechtigungen in FI noch stärker stellt.
SAP Security Automation
Ein lästiges, Ihnen bestimmt bekanntes Szenario: Sie gehen demnächst mit einem neuen Geschäftsprozess live und müssen nun Ihre dafür erstellten Rollen in 97 Buchungskreise ableiten. Hier kann Ihnen eCATT das Leben erleichtern. Es ist mal wieder soweit: Wenn Sie in Ihrer Abteilung niemanden haben, der Gefallen daran findet, mehrere Stunden lang in der Transaktion PFCG den Kopierknopf zu drücken, das Ableitungskürzel zu ersetzen und dann in den neuen Rollen auf der Registerkarte Berechtigungen die Organisationsebenen (Orgebenen) anzupassen (immer wieder verbunden mit Speichervorgängen), bleibt der Job an Ihnen hängen. Weil es kaum etwas Langweiligeres gibt, schleichen sich spätestens nach einer Stunde die ersten Fehlerchen ein. Immer wenn Sie neue Rollen, z. B. für Ihr neues Premiumgeschäft, auf alle Ihre Unternehmensbereiche, Werke usw. ausrollen müssen, ist die Anlage der abgeleiteten Rollen mühselig – weil SAP keine gescheite Massenpflege anbietet.
Erstellen Sie eine Reporttransaktion für den Report, der im Hintergrundjob aufgerufen wird. Legen Sie die Reporttransaktion in der Transaktion SE93 an, und weisen Sie den Report RHAUTUPD_NEW als Programm zu. Starten Sie den Berechtigungstrace, indem Sie den Profilparameter auth/ authorization_trace auf Y setzen bzw. auf F, falls Sie mit Filtern arbeiten möchten (siehe Tipp 38, »Die Transaktionen SU22 und SU24 richtig verwenden«). Führen Sie nun den Job aus, um Berechtigungsprüfungen im Berechtigungstrace zu sammeln. Ihre Berechtigungsprüfungen sollten nun in der Transaktion STUSOBTRACE sichtbar sein. Pflegen Sie nun die Berechtigungsvorschlagswerte für Ihre Reporttransaktion in der Transaktion SU24, indem Sie den Transaktionscode im entsprechenden Feld eingeben. Sie werden feststellen, dass keine Werte gepflegt sind. Wechseln Sie nun in den Änderungsmodus. Über den Menüpfad Objekt > Objekte aus Berechtigungstrace einfügen > Lokal können Sie Ihre Berechtigungsvorschläge aus dem Trace hinzufügen (siehe Tipp 40, »Den Berechtigungstrace für die Ermittlung von Vorschlagswerten für kundeneigene Entwicklungen verwenden«). Fügen Sie für jedes angezeigte Berechtigungsobjekt die Vorschlagswerte hinzu. Erstellen Sie nun eine PFCG-Rolle, die die Berechtigung für die Reporttransaktion beinhaltet, und pflegen Sie die noch offenen Berechtigungsfelder. Testen Sie anschließend, ob der Job mit den Berechtigungen aus der PFCG-Rolle ausgeführt werden kann.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Die Kurzbeschreibung des Customizing- Schalters verweist auf die relevanten und aktuellen SAP-Hinweise.
Möchten Sie lediglich die Beschreibung der Rolle übersetzen, empfiehlt es sich, die Transaktion PFCG aufzuzeichnen und vor dem Durchlaufen des LSMW-Skripts die Quellsprache der Rolle mithilfe des Reports Z_ROLE_SET_MASTERLANG zu ändern.