Anmeldesperren sicher einrichten
Rollen und Berechtigungen in SAP SuccessFactors wachsen oft organisch und werden unübersichtlich
Der Zugriff auf diese Daten, ist kritisch, da über Tools die Hashwerte evtl. entschlüsselt werden können und somit eine unautorisierte Anmeldung an das SAP-System möglich ist. Da oftmals identische Kennwörter für verschiedene Systeme verwendet werden, ist das ermittelte Kennwort somit evtl. auch für nachgelagerte Systeme nutzbar. Die aktuellen bzw. ehemaligen Hashwerte der Kennwörter werden in den Tabellen USR02, USH02, USRPWDHISTORY, USH02_ARC_TMP, VUSER001 und VUSR02_PWD vorgehalten. Auf diese Tabellen kann entweder über klassische Tabellenzugriffs-Transaktionen wie z.B. SE16 oder aber über Datenbankadministrartions-Transaktionen wie DBACOCKPIT zugegriffen werden. Die benötigten Berechtigungen für Tabellenzugriffe über Datenbankwerkzeuge sind abhängig von der jeweiligen Systemkonfiguration und sollten ggf. über einen Berechtigungs-Trace (Transaktion STAUTHTRACE) verifiziert werden.
Im SAP-Standard gibt es keine allgemein anwendbare Möglichkeit für die Automatisierung der Massenpflege von Rollenableitungen. Daher stellen wir Ihnen hier drei mögliche Ansätze vor: 1) Ansatz einer kundeneigenen Entwicklung 2) automatisierte Massenpflege mithilfe der Komponente Business Role Management 3) Einsatz eines Pilothinweises, der einen Report für das Massenupdate von Organisationswerten in Rollen ermöglicht (aktuell für ausgewählte Kunden verfügbar) (BRM) von SAP Access Control.
In der Transaktion SU10 nach Anmeldedaten von Benutzern selektieren
Bei der Sicherheitsbetrachtung von SAP-Transportlandschaften ist nicht nur das Produktivsystem prüfungsrelevant. Auch die anderen Systeme, einschließlich der Entwicklungssysteme, sind in die Risikobetrachtungen einzubeziehen. Noch immer wird dort häufig das Profil SAP_ALL genutzt, anstelle konkreter Rollen. Dieser Beitrag zeigt hier die wesentlichen Risikofelder auf.
Eine Massenanlage von Rollen für einen Roll-out ist eine sehr nützliche Sache. Dabei kann man durchaus auch Excel-basierte Daten verwenden – so wie beim skizzierten Anwendungsfall mit eCATT – da es sich für die betrachteten Rollen um eine einmalige Aktion handelt und im Hintergrund SAP-Standardprogramme verwendet werden. Eine andauernde Pflege des Berechtigungswesens mit fortwährenden Änderungen von Rollen und deren Detailberechtigungen erfordert jedoch die Abbildung wesentlich komplexerer Vorgänge. Eine ausschließliche Steuerung über Office-Programme sollte gut überlegt sein. Dies bedeutet natürlich nicht, dass es nicht auch sehr gute Partnerprodukte für die Pflege von Rollen gibt. Prüfen Sie sie einfach darauf, ob SAP-Standardverfahren verwendet werden und das Berechtigungswesen nach SAP-Best-Practices bewirtschaftet wird.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Eine Beschreibung zu diesem Programm finden Sie im SAP-Hinweis 539404.
Diese PFCG-Rolle könnte alle grundlegenden Berechtigungen enthalten, die ein Anwender in SAP CRM besitzen muss.