Anmeldesperren sicher einrichten
Grenzen von Berechtigungstools
Im Vorfeld wurden im Gros wichtige SAP Reports zum Thema Rollen- und Berechtigungsverwaltung vorgestellt. Da diese und das gesamte SAP System bekannterweise auf dem ABAP Coding aufbauen, ist die Analyse des Quellcodes, besonders bei der Nutzung von Eigenentwicklungen, genauso wichtig. Diese Inhouse Entwicklungen stellen oftmals gravierende Sicherheitslücken dar, da sie nur unzureichende Berechtigungsprüfungen im Coding besitzen. Um nach expliziten Strings zu suchen und die Eigenentwicklungen entsprechend zu kategorisieren kann der Report RS_ABAP_SOURCE_SCAN genutzt werden. Dadurch können vorhanden Programme im Backend nach gezielten Prüfmustern durch den Berechtigungsadministrator explizit überprüft und etwaige Fehlstellungen durch die entsprechenden Entwickler bereinigt werden. Berechtigungsrelevante Prüfmuster bei solch einem Scan sind bspw. “AUTHORITY-CHECK“ oder SQL Statements wie SELECT, UPDATE oder DELETE. Erstere prüft, ob überhaupt Berechtigungsprüfungen im Quellcode vorhanden sind. Die Prüfung auf Open SQL Muster analysiert die Codestruktur auf direkte SELECT, MODIFY oder INSERT Anweisungen, die vermieden bzw. berechtigungsseitig geschützt werden müssen. Die Best Practice Maßnahme ist in diesem Fall die Verwendung von SAP BAPIs. Das präventive Best Practice Vorgehen wäre es, Entwickler und Berechtigungsadministratoren schon während der Konzeptionierung der Eigenentwicklung gleichermaßen zu involvieren.
Mit den Releases SAP NetWeaver 7.03 und 7.30 wurden für Web-Dynpro- ABAP-Anwendungen (sowie für weitere Web-Dynpro-ABAP-Funktionen, siehe SAP-Hinweis 1413011) die Prüfung der Berechtigung zum Start derartiger Anwendungen eingeführt. Das Berechtigungsobjekt, das diese Startberechtigung steuert ist S_START. Dieses Berechtigungsobjekt wird analog zum Berechtigungsobjekt S_TCODE eingesetzt.
Automatische Synchronisation in der Zentralen Benutzerverwaltung verwenden
Sollten Sie eine Zentrale Benutzerverwaltung (ZBV) im Einsatz haben, gibt es bestimmte Abhängigkeiten zwischen dem Basisrelease Ihrer ZBV und dem Basisrelease der Tochtersysteme. Prüfen Sie daher die Kompatibilität Ihrer Systeme, bevor Sie den Profilparameter login/password_downwards_ compatibility setzen. Details zu den technischen Abhängigkeiten zwischen den Releases finden Sie im SAP-Hinweis 1458262.
Manchmal sind Implementierungsberater auch mit der Situation konfrontiert, dass noch gar kein Berechtigungskonzept vorhanden ist. Das passiert bspw. dann, wenn Änderungen bei den SAP SuccessFactors-Verantwortlichkeiten auf Kundenseite geschehen oder in der Vergangenheit unterschiedliche Umsetzungspartner tätig waren. Ein fehlendes Konzept kann jedoch zu Fehlern im System führen. Nutzer können bestimmte Aktionen nicht durchführen oder noch schlimmer: Personen sehen sensible Daten, die sie nicht sehen dürften. Dies kann, im schlimmsten Fall, einen DSGVO-Verstoß darstellen und zu einem Bußgeld für das Unternehmen führen.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Besser ist es daher, wenn Sie den Ordner GENERIC_OP_LINKS in eine separate Rolle auslagern.
Dabei müssen Sie berücksichtigen, dass alle Einstellungen in den Tabellen SSM_CUST, SSM_COL und PRGN_CUST mandantenunabhängig sind; nur die Einstellungen der Tabelle USR_CUST sind mandantenabhängig.