Konzepte der SAP Security
Berechtigungen mit SAP Query analysieren und evaluieren
Sie können die Aufzeichnung auf einen bestimmten Benutzer einschränken. Auch können Sie den Trace so verwenden, dass nur nach Berechtigungsfehlern gesucht wird. Die Auswertung erfolgt ähnlich der Auswertung des Systemtrace in der Transaktion ST01. In Transaktion STAUTHTRACE können Sie jedoch auch nach bestimmten Berechtigungsobjekten oder bestimmten Return-Codes für die Berechtigungsprüfung (d. h. nach positiv oder negativ bewerteten Berechtigungsprüfungen) auswerten. Außerdem können Sie mehrfache Einträge filtern.
Der Security Optimization Service für ABAP enthält mehr Sicherheitsprüfungen als der entsprechende Abschnitt im EWA. Insbesondere die Anzahl der Berechtigungsprüfungen ist höher. Insgesamt sind im SOS aktuell 110 Berechtigungsprüfungen definiert, einschließlich 16 kritischen Berechtigungsprüfungen für HR. Die vollständige Liste aller Sicherheitsprüfungen im SOS finden Sie im SAP Service Marketplace auf der Seite https://service.sap.com/sos über Media Library (Security Optimization Service > ABAP Checks).
Welche Herausforderungen können nicht allein mithilfe von Berechtigungstools gelöst werden?
Wenn Sie Jobs anderer Benutzer abbrechen, freigeben oder in den Status geplant zurücksetzen wollen, brauchen Sie eine Berechtigung für das Objekt S_BTCH_ADM mit dem Wert Y. Alternativ können Sie neuerdings auch die Berechtigung JOBACTION = MODI und JOBGROUP = für das Objekt S_BTCH_JOB erteilen. Die Aktion MODI wurde mit SAP NetWeaver AS ABAP 7.00 eingeführt oder kann über den SAP-Hinweis 1623250 eingespielt werden. In der folgenden Abbildung sehen Sie ein Beispiel zur Ausprägung der Berechtigung JOBACTION = MODI für die Jobs der unter JOBGROUP eingetragenen Benutzer.
Berechtigungen sind das maßgeblich steuernde Instrument zur Abbildung eines Risikomanagements und zur Einhaltung der Compliance. Mit ihnen werden alle Vorgänge in den Systemen gesteuert. Eine Trennung von Funktionen wird zum größten Teil ausschließlich mit Berechtigungen umgesetzt. Daher ist nicht nur die einmalige Einrichtung der Berechtigungen relevant, sondern die ständige Überwachung und Kontrolle der Berechtigungsvergabe. Hierfür sind verschiedene Tools am Markt verfügbar. Hilfreich ist dabei ein Re-Zertifizierungsprozess, der die Fachbereiche einbindet und die Revalidierung der Berechtigungen optimiert.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Die Generierung des Passworts erfolgt in Abhängigkeit von den Passwortregeln; dabei werden zuerst die Vorgaben in der dem Benutzer zugewiesenen Sicherheitsrichtlinie ausgewertet.
Von dieser federführenden Organisationseinheit ausgehend, erstellt das System eine Liste aller Organisationseinheiten, die der ermittelten Organisationseinheit innerhalb der Hierarchie übergeordnet sind.