Sofortige Berechtigungsprüfung – SU53
Abfrage der Daten aus einem HCM-Personalstammdatensatz
Sammelrolle SAP_AUDITOR_TAX: Die Sammelrolle SAP_AUDITOR_TAX setzt sich aus modulspezifischen Einzelrollen zusammen und ist als Vorschlag für die Nur-Leserolle der Steuerprüfer zu sehen (Details zu dieser Rolle finden Sie im SAP-Hinweis 445148). Die in der Sammelrolle SAP_AUDITOR_TAX enthaltenen Transaktionen und Reports wurden um zusätzliche Prüfungen erweitert, die den Prüfungszeitraum abgrenzen. Einige der in der Sammelrolle SAP_AUDITOR_TAX enthaltenen Transaktionen und Reports wurden darüber hinaus um eine Protokollierung der Aufrufparameter erweitert, um dem Steuerpflichtigen zu ermöglichen, die Prüfungshandlungen der Steuerprüfer besser nachvollziehen zu können.
Eine Möglichkeit, einen direkten Zugriff auf die nachgelagerten Systeme vom Entwicklungssystem aus zu erhalten und dort evtl. unautorisierte Aktivitäten durchzuführen, besteht in der Nutzung fehlerhaft konfigurierter Schnittstellen. Grundsätzlich sollten Schnittstellen innerhalb einer Transportlandschaft bezüglich der Kritikalität der Systeme „bergauf“, also von einem „unsicheren“ auf ein „sicheres“ System (z.B. E-System auf Q- oder P-System) vermieden werden. Dies lässt sich allerdings nicht immer umsetzen, beispielsweise werden innerhalb des Transportwesens solche Schnittstellen benötigt. Ohne zu tief in die Thematik einzusteigen, lassen sich jedoch kritische Schnittstellen über folgende Eigenschaften charakterisieren. Kritische Schnittstellen verweisen auf ein kritisches System und einen kritischen Mandanten, beinhalten einen Schnittstellenbenutzer mit kritischen Berechtigungen im Zielmandanten, beinhalten dessen hinterlegtes Kennwort.
Fazit und Ausblick
Das Berechtigungsobjekt S_RFCACL wird durch das Einspielen des SAP-Hinweises 1416085 aus dem Profil SAP_ALL entfernt. Dieser Hinweis ist in allen neueren Support Packages für die Basiskomponente enthalten; dies betrifft also alle Systeme bis herunter zum Basisrelease 4.6C. Grund für diese Änderung ist, dass das Berechtigungsobjekt S_RFCACL und vor allem die Ausprägung Gesamtberechtigung (*) für dessen Felder RFC_SYSID, RFC_CLIENT und RFC_USER als besonders kritisch eingestuft wird. Diese Felder legen fest, aus welchen Systemen und Mandanten bzw. für welche Benutzerkennungen Anmeldungen am Zielsystem erlaubt sein sollen. Die Gesamtberechtigung für diese Felder erlaubt also die Anmeldung aus beliebigen Systemen und Mandanten bzw. für beliebige Benutzer und erzeugt dadurch erhebliche Sicherheitsrisiken.
Seit der Einführung der Sicherheitsrichtlinien in SAP NetWeaver 7.31 hat sich dieser Report verändert. In älteren Releases wird im Startbild des Reports anstelle der Übersicht über die Sicherheitsrichtlinien eine Selektionsseite für die Profilparameter angeboten. Wenn Sie in dieser Selektionssicht Profilparameter anzeigen auswählen, erhalten Sie in der oberen Hälfte des Bildschirms eine Übersicht zu den Profilparametereinstellungen. Hier sollten Sie besonders auf die Einstellung des Parameters login/no_ automatic_user_sapstar achten und dessen Einstellung auch nach der Umstellung auf die Sicherheitsrichtlinien kontrollieren.
Die Zuweisung einer Rolle für einen befristeten Zeitraum ist mit "Shortcut for SAP systems" in Sekundenschnelle getan und erlaubt Ihnen die schnelle Fortsetzung Ihres Go-Live.
Das kaufmännische Audit beinhaltet organisatorische Übersichten und bilanzorientierte bzw. prozessorientierte Funktionen.
Mit diesen Hinweisen wird der Report RSUSR_LOCK_USERS ausgeliefert bzw. erweitert.