Notfalluserkonzept
ABAP-Quelltexte über RFC installieren und ausführen
Die Zuweisung der Rollen beinhaltet keine Besonderheiten. Daher behandeln wir im Folgenden ausschließlich die Themen Zeitraumabgrenzung und Protokollierung. Die Zeitraumprüfung ist als zusätzlicher Filter implementiert, der nach den üblichen Berechtigungsprüfungen abläuft. Diese zusätzliche Filterlogik arbeitet folgendermaßen: Zunächst wird geprüft, ob der Benutzer in der Tabelle für Steuerprüfer eingetragen ist (Tabelle TPCUSERN, Konfiguration mit der Transaktion TPC2). Nur dann werden die weiteren Prüfschritte durchlaufen. Falls nicht, finden keine Zusatzprüfungen statt. Anschließend wird geprüft, ob das aufgerufene Programm in der Tabelle der zulässigen Programme enthalten ist (Tabelle TPCPROG, Konfiguration mit der Transaktion TPC4). Bei negativer Prüfung bricht das System mit einem Berechtigungsfehler ab. Die Zeitraumprüfung erfolgt gegen die gültigen Intervalle in der Tabelle TPCDATEN (Konfiguration mit der Transaktion TPC6). Die Zeitraumprüfung arbeitet dabei kontextabhängig: Neben den Belegen des Prüfungszeitraums werden auch ältere Belege mitangezeigt, wenn sie noch für den Prüfungszeitraum relevant sind, z. B. offene Posten, die zwar in früheren Jahren gebucht, aber erst im Prüfungszeitraum ausgeglichen wurden. Datensätze, die gemäß der beschriebenen Logik nicht in den gültigen Zeitraum fallen, werden herausgefiltert.
Eine vollumfängliche SAP-Sicherheitsüberprüfung ist hier jedoch noch nicht zu Ende. Zusätzlich untersucht der Auditor, ob die vier wichtigen Konzepte der SAP Security, namentlich das Dateneigentümer-, das Eigenentwicklungen-, das Berechtigungs- und das Notfalluserkonzept, den Anforderungen genügen. Jedes von ihnen sollte ein ausformuliertes Schriftstück darstellen, das zum einen alle Soll-Vorgaben zum jeweiligen Thema enthält und zum anderen mit dem vorgefundenen Ist-Zustand der Prüfung übereinstimmt.
BERECHTIGUNGEN FÜR BATCH-VERARBEITUNG IM SAP NETWEAVER UND S/4HANA-UMFELD
Im SAP-System werden Passwörter gesperrt, wenn die maximale Anzahl erlaubter Fehlversuche bei der Passwortanmeldung erreicht ist. Dieser Zähler wird bei jeder erfolgreichen Anmeldung mit einem Passwort wieder zurückgesetzt. Darüber hinaus kann ein Initialpasswort gesperrt werden, wenn seine Gültigkeit abgelaufen ist. Sowohl die Gültigkeit des Initialpassworts als auch der Maximalwert für Fehlversuche bei der Passwortanmeldung werden über Profilparameter gesetzt. Details hierzu finden Sie in Tipp 4, »Passwortparameter und gültige Zeichen für Passwörter einstellen«. Eine Passwortsperre verhindert nur die weitere Anmeldung eines Benutzers über sein Passwort, da die Anzahl der Fehlversuche nur dann ausgewertet wird, wenn die Anmeldung mittels Passwort erfolgt. Erfolgt also nun eine Anmeldung über andere Authentifizierungsverfahren (wie z. B. SSO), sind diese nicht von der Passwortsperre betroffen. Dies gilt ebenso für interne Ablaufverfahren (wie z. B. Hintergrundjobs) da bei Ihnen ebenfalls keine Passwortanmeldung notwendig ist. Dies verhindert z. B. sogenannte Denial-of-Service-Attacken, die zunächst die Sperre eines Passworts bewirken, um darüber interne Prozesse zu blockieren.
Grundsätzlich können alle Berechtigungsfelder in die Organisationsebene hochgestuft werden; es gibt allerdings technische Ausnahmen und Felder, bei denen dies nicht sinnvoll ist. Technisch sind die Felder ausgenommen, die im Kontext zur Prüfung der Startbarkeit einer Applikation stehen, also die Felder der Berechtigungsobjekte S_TCODE, S_START, S_USER_STA, S_SERVICE, S_RFC, S_PROGRAM und S_USER_VAL. Außerdem können Sie das Feld ACTVT nicht zur Organisationsebene erheben. Sinnvoll sind nur die Felder, die innerhalb einer Rolle mit einem Wertebereich belegt werden können. Dies muss natürlich übergreifend für das Berechtigungskonzept betrachtet werden. So sind Felder, die mehr als eine Bedeutung haben, wie z. B. die Berechtigungsgruppe (BEGRU) in der Materialwirtschaft nicht geeignet. Mit dem Report PFCG_ORGFIELD_CREATE können Sie ein Berechtigungsfeld als Organisationsebene definieren. Der Report trägt das Feld in die Tabelle USORG ein, ändert die Berechtigungsvorschlagswerte zu diesem Feld und geht alle Rollen durch, die eine Ausprägung zu dem Feld enthalten.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Neues vom Systemtrace für Berechtigungen! Hier wurden Funktionen ergänzt, die das Aufzeichnen und die Rollenpflege deutlich vereinfachen.
Haben Sie übrigens gewusst, dass Sie über den Profilparameter auth/tcodes_not_checked die Transaktionsstartberechtigung für die Transaktionen SU53 und SU56 ausschalten können? Tragen Sie hierzu den Wert SU53, SU56 oder SU53 SU56 für den Profilparameter ein.