Analyse der Qualität des Berechtigungskonzeptes – Teil 1
Berechtigungswerte beim Rollenupgrade vergleichen
Betrachten wir zuerst den Transport Ihrer Berechtigungsvorschlagswerte aus verschiedenen Entwicklungssystemen in ein Konsolidierungssystem. Wenn Sie Berechtigungsvorschlagswerte in den Transportaufträgen speichern, wird Ihnen auffallen, dass hier statt detaillierter Stücklisten generische Einträge verwendet werden. Diese generischen Einträge markieren alle Anwendungen, z. B. mit TR*..
Sind Sie sicher, dass bei der Nutzung Ihres SAP Systems immer auch Ihre Compliance sichergestellt ist? Sie wollen die SAP Berechtigungsvergabe gern übersichtlicher gestalten und den manuellen Arbeitsaufwand verringern? Unser SAP Add-on apm schafft vereinfachte Prozesse und damit mehr Transparenz in Ihrem bestehenden SAP Berechtigungsmanagement. Reduzieren Sie den administrativen Aufwand und sorgen Sie für Klarheit in Ihrer Compliance-Lösung.
Architektur von Berechtigungskonzepten
Werden RFC-Funktionsbausteine über RFC-Verbindungen (z.B. von einem RFC-Client-Programm oder einem anderen System) aufgerufen, wird im aufgerufenen System eine Berechtigungsprüfung auf das Berechtigungsobjekt S_RFC ausgeführt. Bei dieser Prüfung wird der Name der Funktionsgruppe geprüft, zu der der Funktionsbaustein gehört. Schlägt diese Prüfung fehl, prüft das System auch die Berechtigungen für den Namen des Funktionsbausteins. Konfigurieren Sie diese Prüfung mit dem Parameter auth/rfc_authority_check.
Sollten Sie den Haken zur Tabellenprotokollierung für mehrere Tabellen setzen wollen, müssen Sie beachten, dass die Grundsätze zur Änderung von Dictionary-Objekten gelten, d. h., dass Sie in laufenden Systemen eine erhöhte Systembelastung erzeugen. Deshalb sollten Sie sowohl die Änderung als auch den Transport der Änderungen außerhalb der Geschäftszeiten durchführen. Im SAP-System sind standardmäßig nur Customizing-Tabellen zur Tabellenprotokollierung vorgesehen; daher brauchen Sie keine Bedenken wegen der Performance zu haben. Tabellen, die dem Customizing dienen, enthalten in der Regel nur relativ wenige Daten, die eher selten geändert werden. Sie sollten aber die Tabellenprotokollierung nicht für Tabellen einschalten, die Massenänderungen unterliegen, da es ansonsten zu Problemen mit der Performance und dem Speicherplatz kommen kann. Dies gilt für Tabellen mit Stamm- oder Bewegungsdaten. Denn wenn die Tabellenprotokollierung eingeschaltet ist, wird für jede Änderung am Inhalt einer protokollierten Tabelle ein Protokolleintrag in der Tabelle DBTABLOG erzeugt.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Auch eine Aufteilung in einen Entwicklungs- und einen Testmandanten (mit den sensiblen Daten) innerhalb des Systems schützt aus den oben genannten Gründen nicht vor unautorisierten Datenzugriffen.
Ändern Sie das Passwort, ordnen Sie ihn der Benutzergruppe SUPER zu, und protokollieren Sie ihn mit dem Security Audit Log.