Prüfung auf Programmebene mit AUTHORITY-CHECK
Berechtigungsobjekte für die Tabellenbearbeitung verwenden
Kommen wir heute mal zur Fehleranalyse bei Berechtigungen. Das beste, was einem dabei passieren kann, ist der Fehler der Art: „Ich habe keine Berechtigung das und das auszuführen!“ (FALL1). Schlechter ist schon der Fall, dass jemand zuviele Berechtigungen hat, also der Art: „User xy soll diese Berechtigung nicht mehr haben“ (FALL2). Wie geht man da vor? Kommen wir zunächst mal zum Fall 1 Dieser Fall, dass also jemand keine Berechtigung für etwas hat, unterstützt das System vortrefflich! Das Codewort ist SU53! Falls eine Transaktion auf einen Berechtigungsfehler trifft, dann wird dieser Fehler in einen Speicherbereich geschrieben, den man sich anzeigen lassen kann. Dazu gibt es einmal die Transaktion SU53 oder die Menüauswahl „System/Hilfsmittel/Anzeige Berechtigungsprüfung“. Mit dieser Funktion wird vom System eine Information ausgeben, in der gezeigt wird, welche Berechtigungsobjekte dem Benutzer fehlen.
Im Zuge eines umfassenden Schutzes Ihres Systems von innen sowie von außen ist es unabdingbar, vor allem die SAP Standardbenutzer genauer zu betrachten. Sie haben weitreichende Berechtigungen, die bei einem Missbrauch hohe Schäden in Ihrem System anrichten. Dabei ist zu beachten, dass sie sehr wichtig für die Betriebsausführung Ihres SAP Systems sind und nicht gelöscht werden dürfen. Da die dazugehörigen Standardpasswörter jedoch schnell recherchierbar sind, müssen diese umgehend nach Auslieferung des SAP ERP geändert werden. Eine detaillierte Prüfung dieser User können Sie durch den Report RSUSRS003 ausführen. Außerdem ist es empfehlenswert, bestimmte Standardnutzer bis zur eigentlichen Nutzung inaktiv zu setzen.
Security Audit Log konfigurieren
Eine neue Transaktion zur Auswertung des Systemtrace ausschließlich für Berechtigungsprüfungen ist hinzufügt worden, die Sie mithilfe der Transaktion STAUTHTRACE aufrufen und über das jeweilige Support Package, das im SAP-Hinweis 1603756 benannt ist, einspielen können. Dies ist ein Kurzzeittrace, der nur auf dem aktuellen Anwendungsserver und Mandanten als Berechtigungstrace verwendet werden kann. In den grundlegenden Funktionen ist er identisch mit dem Systemtrace in Transaktion ST01; im Unterschied zum Systemtrace können hier jedoch nur Berechtigungsprüfungen aufgezeichnet und ausgewertet werden.
Manchmal sind Implementierungsberater auch mit der Situation konfrontiert, dass noch gar kein Berechtigungskonzept vorhanden ist. Das passiert bspw. dann, wenn Änderungen bei den SAP SuccessFactors-Verantwortlichkeiten auf Kundenseite geschehen oder in der Vergangenheit unterschiedliche Umsetzungspartner tätig waren. Ein fehlendes Konzept kann jedoch zu Fehlern im System führen. Nutzer können bestimmte Aktionen nicht durchführen oder noch schlimmer: Personen sehen sensible Daten, die sie nicht sehen dürften. Dies kann, im schlimmsten Fall, einen DSGVO-Verstoß darstellen und zu einem Bußgeld für das Unternehmen führen.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
In unserer Beispieltabelle wird durch das Setzen der Schalter FS_NOREAD = X und FS_NOWRITE = X für alle Pfade das Lesen und Schreiben untersagt.
Belegen Sie anschließend die Felder der Transaktion SU01 mit den Daten aus dem Benutzerstammsatz des Active Directorys.