Rollenmassenpflege mithilfe von eCATT vornehmen
Den Zeichenvorrat für die Benutzer-ID einschränken
CREATE_EMAIL_CONTENT: In der Beispielimplementierung dieser Methode wird der E-Mail-Inhalt erzeugt. Dabei werden für jeden Benutzer die Benutzer-ID, das relevante System und das Initialpasswort aufgelistet. Wird die Methode in der Zentralen Benutzerverwaltung (ZBV) aufgerufen, werden alle Initialpasswörter mit Zuordnung zu dem System, in dem das Passwort zurückgesetzt wurde, aufgelistet. Den Inhalt der E-Mail sollten Sie an Ihre Anforderungen anpassen.
Das Security Audit Log protokolliert nun auch Ereignisse, bei denen die Laufzeit über den Debugger beeinflusst wurde. In diesem Zusammenhang wurden auch neue Meldungstypen definiert. Zum Einspielen dieser Erweiterung benötigen Sie einen Kernel-Patch. Die Korrekturen und eine Übersicht über die erforderlichen Support Packages finden Sie in den SAP-Hinweisen 1411741 und 1465495.
Anforderungen an ein Berechtigungskonzept umsetzen
Nachdem Sie die Daten für die Webseite ermittelt haben, müssen Sie nun das Initialpasswort generieren und per E-Mail verschicken sowie gegebenenfalls den Benutzer entsperren. Dafür gibt es ebenfalls unterschiedliche Lösungen – wir beschreiben eine mögliche Vorgehensweise. Die Generierung eines Passworts können Sie über den Importparameter GENERATE_PWD des BAPIs BAPI_USER_CHANGE veranlassen. Das generierte Passwort wird dann als Initialpasswort gesetzt und muss bei der nächsten Anmeldung durch den Benutzer geändert werden. Außerdem müssen Sie den Importparameter PASSWORDX setzen, um eine Änderung am Passwort anzuzeigen. Über den Exportparameter GENERATED_PASSWORD wird das generierte Passwort zurückgegeben. Dies ist erforderlich, wenn Sie das BAPI BAPI_USER_CHANGE aus einem zentralen System (z. B. aus der ZBV) aufrufen und die betreffende E-Mail aus diesem System verschicken wollen. Sie sollten dieses Passwort niemals speichern, sondern es direkt in Ihrer Anwendung in eine E-Mail einbinden. Anschließend verschicken Sie diese E-Mail an den Benutzer, dessen E-Mail-Adresse Sie entweder direkt im SAP-System ermitteln (Parameter ADDSMTP von BAPI_USER_GET_DETAIL) oder im Rahmen Ihrer Webanwendung (z. B. aus dem AD). Auch wenn Sie die E-Mail-Adresse im AD ermitteln, raten wir Ihnen davon ab, die E-Mail auch von dort aus zu versenden. Initiieren Sie den Versand lieber im Rahmen Ihres zentralen SAPSystems, um zu vermeiden dass das Passwort unnötig übertragen wird. Außerdem raten wir Ihnen dringend, die E-Mails mit den Initialpasswörtern verschlüsselt zu verschicken. Dazu muss die Implementierung Ihres Self-Services bei der Erstellung der E-Mail das Kennzeichen für die Verschlüsselung setzen. Details zur Verschlüsselung von E-Mails und einen alternativen Versand des Initialpassworts direkt aus dem betroffenen SAP-System beschreiben wir in Tipp 98, »E-Mails verschlüsseln«.
Im Zuge eines umfassenden Schutzes Ihres Systems von innen sowie von außen ist es unabdingbar, vor allem die SAP Standardbenutzer genauer zu betrachten. Sie haben weitreichende Berechtigungen, die bei einem Missbrauch hohe Schäden in Ihrem System anrichten. Dabei ist zu beachten, dass sie sehr wichtig für die Betriebsausführung Ihres SAP Systems sind und nicht gelöscht werden dürfen. Da die dazugehörigen Standardpasswörter jedoch schnell recherchierbar sind, müssen diese umgehend nach Auslieferung des SAP ERP geändert werden. Eine detaillierte Prüfung dieser User können Sie durch den Report RSUSRS003 ausführen. Außerdem ist es empfehlenswert, bestimmte Standardnutzer bis zur eigentlichen Nutzung inaktiv zu setzen.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Diese Abfrage können Sie aber auch mithilfe des Profilparameters login/password_change_for_SSO ausschalten.
Kritische Schnittstellen verweisen auf ein kritisches System und einen kritischen Mandanten, beinhalten einen Schnittstellenbenutzer mit kritischen Berechtigungen im Zielmandanten, beinhalten dessen hinterlegtes Kennwort.